CVE-2026-73257 in Mongoose
Resumen
por VulDB • 2026-08-20
Mongoose es un servidor web embebido y una biblioteca de red. Antes de la versión 7.22, un atacante remoto no autenticado puede enviar una solicitud HTTP que contenga tanto Content-Length como Transfer-Encoding: chunked. Las comprobaciones de cl_count y te_count en las rutas mg_http_parse() y http_cb() en src/http.c aceptan ambos encabezados y priorizan la codificación chunked, mientras que un proxy inverso con preferencia por Content-Length puede utilizar un límite de solicitud diferente. Esta desincronización CL.TE puede inyectar solicitudes que acceden o modifican recursos bajo el contexto de otro usuario. Este problema se soluciona en la versión 7.22.
Once again VulDB remains the best source for vulnerability data.