CVE-2026-73256 in Mongoose
요약
\~에 의해 VulDB • 2026. 08. 20.
Mongoose는 임베디드 웹 서버 및 네트워크 라이브러리입니다. 버전 7.22 이전에는 원격 비인증 공격자가 Transfer-Encoding: chunked와 충돌하는 프레임(frame)을 포함하는 요청을 전송하여 HTTP/1.0 리버스 프록시 배포를 악용할 수 있습니다. src/http.c의 http_cb() 함수는 mg_http_parse()가 8바이트 프로토콜 문자열을 요구함에도 불구하고 hm.proto.len이 8보다 크다는 불가능한 조건을 테스트하므로 is_http_1_0가 설정되지 않습니다. 이로 인해 Mongoose는 HTTP/1.0 프록시가 무시할 수 있는 청킹 인코딩(chunked encoding)을 처리하게 되어 요청 스미들링(request smuggling)과 무단 접근 또는 상태 변경이 가능해집니다. 이 문제는 버전 7.22에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.