CVE-2026-73255 in Mongoose
Résumé
par VulDB • 21/08/2026
Mongoose est un serveur web embarqué et une bibliothèque réseau. Avant la version 7.22, un attaquant pouvant contrôler un fichier activant les SSI (Server-Side Includes) peut insérer des séquences de traversée de répertoire dans un fichier `#include` ou une directive `#include virtual`. La fonction `mg_ssi()` située dans le fichier source `src/ssi.c` concatène l'argument de la directive à un chemin du système de fichiers sans appeler `mg_path_is_sane()`, ce qui permet, sur un déploiement Mongoose avec `MG_ENABLE_SSI` activé et une configuration de `ssi_pattern` appropriée, de divulguer des fichiers lisibles par le processus Mongoose. Ce problème est corrigé dans la version 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.