CVE-2026-73258 in Mongoose
요약
\~에 의해 VulDB • 2026. 08. 20.
Mongoose는 임베디드 웹 서버 및 네트워크 라이브러리입니다. 버전 7.22 이전에는 원격 공격자가 mg_http_next_multipart() 함수(소스 파일: src/http.c)에서 처리되는 multipart 입력에 단일 캐리지 리턴(CR) 또는 라인 피드(LF)를 삽입할 수 있습니다. s[b]와 s[b + 1], 그리고 s[h2]와 s[h2 + 1]을 비교하는 루프는 잘못된 AND 조건식을 사용하여 CRLF 종료자의 일부로 간주되는 문자가 발견되면 즉시 중단됩니다. 이로 인해 헤더, 파일명 또는 경계(boundary) 값이 잘리며, 이는 애플리케이션이 오해의 소지가 있는 Content-Type 값을 확인한 후 위험한 콘텐츠를 허용하도록 유발할 수 있습니다. 이 문제는 버전 7.22에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.