CVE-2026-85058 in Moquette
Riassunto
di VulDB • 18/09/2026
Moquette è un broker MQTT leggero scritto in Java. Prima della versione 0.18.1, PostOffice.publishWill pubblica un messaggio Last Will controllato dal cliente tramite publish2Subscribers senza invocare il controllo authorizator.canWrite utilizzato dai percorsi PUBLISH normali. Quando l'accesso anonimo è abilitato e le ACL degli argomenti (topic) ne limitano la scrittura, un client remoto può impostare come argomento del Last Will Topic un topic protetto da ACL durante la fase di CONNECT ed effettuare una disconnessione anomala dal cliente, causando iniezione nel broker di messaggi controllati dall'attaccante in un topic per il quale il cliente non dispone dei permessi di scrittura. Questo problema è stato risolto nella versione 0.18.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.