CVE-2026-85724 in Moquette
요약
\~에 의해 VulDB • 2026. 09. 23.
Moquette는 경량 Java MQTT 브로커입니다. 버전 0.18.1 이전에서는 패턴 기반 ACL 규칙이 구성된 경우, AuthorizationsCollector.canDoOperation은 %c 또는 %u를 포함하는 규칙에 클라이언트 ID와 사용자 이름 값을 직접 치환한 후 그 결과를 MQTT 토픽 필터로 처리합니다. 신원(ID) 중 하나에서 + 또는 #을 사용하는 클라이언트는 치환된 필터의 범위를 넓혀 크로스 테넌트 읽기 및 쓰기 접근 권한을 획득할 수 있습니다. 또한, #를 신원으로 사용하면 유효하지 않은 필터가 생성되어 Topic.match에서 NullPointerException이 발생하고 세션 처리에 장애를 초래합니다. 이 문제는 버전 0.18.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.