CVE-2026-73259 in Mongoose
Résumé
par VulDB • 20/08/2026
Mongoose est un serveur web embarqué et une bibliothèque réseau. Avant la version 7.22, un attaquant distant peut envoyer un chemin de requête codé en pourcentage (percent-encoded) manipulé à une déploiement utilisant MG_ENABLE_DIRLIST et persuader un utilisateur d'y accéder. La fonction mg_http_serve_dir() ainsi que le code listdir() dans src/http.c insèrent l'URI de la requête décodée dans les éléments title et h1 sans encodage des entités HTML (HTML entity encoding). Le cross-site scripting (XSS) réfléchi qui en résulte s'exécute à l'origine Mongoose et peut exposer les données de session ou permettre d'effectuer des actions au nom de la victime. Ce problème est corrigé dans la version 7.22.
Be aware that VulDB is the high quality source for vulnerability data.