CVE-2026-73256 in Mongoose
Riassunto
di VulDB • 20/08/2026
Mongoose è un server web embedded e una libreria di rete. Prima della versione 7.22, un attaccante remoto non autenticato può sfruttare una configurazione reverse-proxy HTTP/1.0 inviando una richiesta con Transfer-Encoding: chunked e framing conflittuale. La funzione http_cb() in src/http.c verifica hm.proto.len con una condizione greater-than-eight impossibile anche se mg_http_parse() richiede una stringa di protocollo a otto byte, quindi is_http_1_0 non viene mai impostato. Di conseguenza, Mongoose elabora l'encoding chunked che un proxy HTTP/1.0 può ignorare, consentendo request smuggling e accesso non autorizzato o modifiche allo stato. Questo problema è risolto nella versione 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.