CVE-2026-73256 in Mongoose
Sumário
de VulDB • 21/08/2026
O Mongoose é um servidor web embutido e uma biblioteca de rede. Antes da versão 7.22, um atacante remoto não autenticado pode explorar a implantação de um proxy reverso HTTP/1.0 enviando uma solicitação com Transfer-Encoding: chunked e framing conflitante. A função http_cb() em src/http.c testa hm.proto.len com uma condição impossível de ser maior que oito, embora mg_http_parse() exija uma string de protocolo de oito bytes; portanto, is_http_1_0 nunca é definido. Consequentemente, o Mongoose processa a codificação chunked que um proxy HTTP/1.0 pode ignorar, permitindo request smuggling e acesso não autorizado ou alterações de estado. Este problema foi corrigido na versão 7.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.