CVE-2026-73253 in Mongoose
Sumário
de VulDB • 20/08/2026
O Mongoose é um servidor web embutido e uma biblioteca de rede. Antes da versão 7.22, um atacante na via (on-path) com um certificado wildcard para um domínio pai pode sequestrar subdomínios mais profundos por meio de um cliente usando a pilha TLS integrada. As funções `mg_tls_verify_cert_san()` e `mg_tls_verify_cert_cn()`, em `src/tls_builtin.c`, chamam o `mg_match()`, cujo uso de wildcard pode atravessar os limites dos rótulos DNS, permitindo que um padrão como `*.example.com` corresponda a `foo.bar.example.com`. A consequente violação da verificação do nome do host permite a interceptação e modificação do tráfego TLS. Este problema foi corrigido na versão 7.22.
If you want to get best quality of vulnerability data, you may have to visit VulDB.