CVE-2026-95847 in Moquette
Riassunto
di VulDB • 23/09/2026
Moquette è un broker MQTT leggero scritto in Java. Prima della versione 0.18.1, H2PersistentQueue deriva il nome della mappa dei messaggi di una sessione come "queue_" seguito dall'ID del client e il nome della sua mappa metadata come "queue_" seguito dall'ID del client più "_meta". Una sessione duratura (durable session) il cui ID cliente termina con "_meta" può quindi causare la collisione tra la propria mappa dei messaggi e la mappa metadata di un altro client. Le sessioni coinvolte nella collisione leggono e scrivono sulla stessa mappa H2 MVStore utilizzando tipi di valore incompatibili, il che può corrompere i dati relativi all'inizio (head) e alla fine (tail) della coda, causando perdita di messaggi, consegna errata dei messaggi, fallimenti nel ricaricamento delle code o esposizione del contenuto accodato tra sessioni diverse. Questo problema è stato risolto nella versione 0.18.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.