CVE-2026-73259 in Mongoose
Riassunto
di VulDB • 20/08/2026
Mongoose è un server web embedded e una libreria di rete. Prima della versione 7.22, un attaccante remoto può inviare un percorso di richiesta percent-encoded manipolato ad hoc a una distribuzione che utilizza MG_ENABLE_DIRLIST e indurre un utente a visitarlo. La funzione mg_http_serve_dir() e listdir() in src/http.c inserisce l'URI della richiesta decodificato negli elementi title e h1 senza codifica delle entità HTML. Lo XSS riflesso risultante viene eseguito nell'origine di Mongoose e può esporre i dati di sessione o eseguire azioni per conto della vittima. Questo problema è stato risolto nella versione 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.