CVE-2026-73254 in Mongoose
Résumé
par VulDB • 20/08/2026
Mongoose est un serveur web embarqué et une bibliothèque réseau. Avant la version 7.22, un attaquant capable de créer un fichier dont le nom contient une charge utile HTML peut déclencher un cross-site scripting (XSS) stocké lorsqu'un utilisateur consulte un répertoire servi avec MG_ENABLE_DIRLIST. La fonction printdirentry(), appelée par listdir() dans src/http.c, encode en URL l'attribut href mais insère le nom de fichier brut du système de fichiers dans le texte du lien HTML. Le navigateur exécute les balises injectées dans l'origine Mongoose, ce qui peut exposer des données de session ou permettre d'exécuter des actions au nom de la victime. Ce problème est corrigé dans la version 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.