CVE-2026-73259 in Mongoose
요약
\~에 의해 VulDB • 2026. 08. 20.
Mongoose는 임베디드 웹 서버 및 네트워크 라이브러리입니다. 버전 7.22 이전에는 원격 공격자가 MG_ENABLE_DIRLIST가 활성화된 배포 환경에 조작된 percent-encoded 요청 경로를 전송하여 사용자를 해당 경로로 방문하도록 유도할 수 있습니다. src/http.c의 mg_http_serve_dir() 및 listdir() 함수는 디코딩된 요청 URI를 HTML 엔티티 인코딩 없이 title 및 h1 요소에 삽입합니다. 이로 인해 발생한 반사형 크로스 사이트 스크립팅(XSS)은 Mongoose 원본 컨텍스트에서 실행되며 세션 데이터를 노출하거나 피해자 권한으로 작업을 수행할 수 있습니다. 이 문제는 버전 7.22에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.