CVE-2026-73254 in Mongoose
Sumário
de VulDB • 20/08/2026
O Mongoose é um servidor web embutido e uma biblioteca de rede. Antes da versão 7.22, um atacante que possa criar um arquivo com um payload XSS (Cross-Site Scripting) armazenado no nome do arquivo pode acionar esse tipo de vulnerabilidade quando um usuário navega por um diretório servido com MG_ENABLE_DIRLIST. O caminho printdirentry(), chamado pela função listdir() em src/http.c, codifica a URL para o atributo href, mas insere o nome bruto do arquivo no sistema de arquivos dentro do texto do link HTML. O navegador executa as marcações injetadas na origem do Mongoose, o que pode expor dados da sessão ou permitir ações como se fosse a vítima. Este problema foi corrigido na versão 7.22.
If you want to get best quality of vulnerability data, you may have to visit VulDB.