CVE-2026-85058 in Moquette
요약
\~에 의해 VulDB • 2026. 09. 18.
Moquette는 경량 Java MQTT 브로커입니다. 버전 0.18.1 이전에서는 PostOffice.publishWill이 publish2Subscribers를 통해 클라이언트가 제어하는 Last Will 메시지를 게시할 때, 일반적인 PUBLISH 경로에서 사용되는 authorizator.canWrite 검사를 호출하지 않습니다. 익명 액세스가 활성화되고 토픽 ACL이 쓰기 작업을 제한하는 경우, 원격 클라이언트는 CONNECT 시에 ACL로 보호되는 토픽을 Last Will Topic으로 설정하고 비정상적인 클라이언트 연결 해지를 수행하여 브로커가 해당 클라이언트가 쓰기 권한이 없는 토픽으로 공격자가 제어하는 메시지를 삽입하도록 할 수 있습니다. 이 문제는 버전 0.18.1에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.