CVE-2026-47276 in NanoMQ
要約
〜によって VulDB • 2026年07月20日
nanomqのバージョン0.24.11およびそれ以前では、`properties_parse()`関数におけるNULLポインタ参照により、認証済み攻撃者がJSONオブジェクトではなくJSON配列として`user_properties`を設定したPOSTリクエストを`/api/v4/mqtt/publish`に送信することでNanoMQブローカーをクラッシュさせることができます。このクラッシュは、配列要素の反復処理中にNULLである`item->string`ポインタに対して`strlen()`が呼び出されることで発生します。認証済み攻撃者はこれを利用してNanoMQブローカープロセスをクラッシュさせることが可能です。この問題はバージョン0.24.14で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.