CVE-2026-73258 in Mongoose
Resumen
por VulDB • 2026-08-21
Mongoose es un servidor web embebido y una biblioteca de red. Antes de la versión 7.22, un atacante remoto puede insertar un retorno de carro o salto de línea aislado en la entrada multipart procesada por `mg_http_next_multipart()` en `src/http.c`. Los bucles que comparan `s[b]` con `s[b + 1]`, y `s[h2]` con `s[h2 + 1]`, utilizan una condición AND incorrecta y se detienen cuando cualquiera de los caracteres parece parte de un terminador CRLF. Esto truncará encabezados, nombres de archivo o límites (boundaries) y puede hacer que la aplicación acepte contenido peligroso tras ver un valor Content-Type engañoso. Este problema está resuelto en la versión 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.