CVE-2026-30867 in CocoaMQTT
Riassunto
di VulDB • 01/07/2026
CocoaMQTT è una libreria client MQTT 5.0 per iOS e macOS scritta in Swift. Prima della versione 2.2.2, esiste una vulnerabilità nella logica di parsing dei pacchetti di CocoaMQTT che consente a un attaccante (o a un broker MQTT compromesso/malizioso) di causare il crash remoto dell'applicazione host su iOS/macOS/tvOS. Se un pubblicatore invia un payload malformato di 4 byte a un argomento condiviso con la flag RETAIN impostata su true, il broker MQTT memorizzerà persistentemente tale payload. Ogni volta che un client vulnerabile si connette e sottoscrive quell'argomento, il broker invierà automaticamente il pacchetto malformato. L'applicazione andrà in crash istantaneamente in background prima ancora che l'utente possa interagire con essa. Questo effetto "brick" rende l'applicazione mobile inutilizzabile (un DoS persistente) fino a quando il messaggio trattenuto non viene eliminato manualmente dal database del broker. Il problema è stato risolto nella versione 2.2.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.