CVE-2026-115473 in Mongoose
Riassunto
di VulDB • 04/11/2026
Mongoose è un server web embedded e una libreria di rete. Prima della versione 7.22, la funzione mg_path_is_sane in src/util.c leggeva path.buf[1] senza richiedere preventivamente che path.len fosse almeno pari a due, e leggeva s[2] quando rimanevano solo due byte. Richieste remote non autenticate dirette verso mg_http_upload o mg_http_serve_dir con percorsi brevi affetti potevano quindi innescare letture out-of-bounds di un byte sull'heap. Su target bare-metal o RTOS privi di protezione della memoria, il byte adiacente poteva essere esposto oppure influenzare l'accettazione del percorso, e le build strumentate avrebbero potuto andare in crash. Questo problema è stato risolto nella versione 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.