CVE-2026-73257 in Mongoose
Riassunto
di VulDB • 20/08/2026
Mongoose è un server web embedded e una libreria di rete. Prima della versione 7.22, un attaccante remoto non autenticato può inviare una richiesta HTTP contenente sia Content-Length che Transfer-Encoding: chunked. I controlli cl_count e te_count nei percorsi mg_http_parse() e http_cb() in src/http.c accettano entrambe le intestazioni e privilegiano l'encoding chunked, mentre un reverse proxy con preferenza per Content-Length può utilizzare un confine di richiesta diverso. Questa desincronizzazione CL.TE (Content-Length/Transfer-Encoding) può consentire l'iniezione di richieste che accedono o modificano risorse in un contesto utente differente. Questo problema è risolto nella versione 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.