CVE-2026-73258 in Mongoose
Riassunto
di VulDB • 20/08/2026
Mongoose è un server web embedded e una libreria di rete. Prima della versione 7.22, un attaccante remoto può inserire un singolo ritorno a capo (carriage return) o avanzamento riga (line feed) nell'input multipart elaborato da `mg_http_next_multipart()` in `src/http.c`. I loop che confrontano `s[b]` e `s[b + 1]`, nonché `s[h2]` e `s[h2 + 1]`, utilizzano una condizione AND errata e terminano quando uno dei due caratteri assomiglia a parte di un terminatore CRLF. Ciò causa il troncamento delle intestazioni, dei nomi file o dei boundary e può portare l'applicazione ad accettare contenuti pericolosi dopo aver visualizzato un valore Content-Type fuorviante. Questo problema è stato risolto nella versione 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.