CVE-2026-73253 in Mongoose
Сводка
по VulDB • 21.08.2026
Mongoose — это встроенный веб-сервер и сетевая библиотека. До версии 7.22 злоумышленник, находящийся на пути передачи данных (on-path), обладающий сертификатом с wildcard для родительского домена, может выдать себя за более глубокие поддомены перед клиентом, используя встроенную TLS-стек. Функции `mg_tls_verify_cert_san()` и `mg_tls_verify_cert_cn()` в файле `src/tls_builtin.c` вызывают функцию `mg_match()`, wildcard которой способен пересекать границы меток DNS (DNS label boundaries), поэтому шаблон вида `*.example.com` может соответствовать имени `foo.bar.example.com`. Обход проверки имени хоста позволяет перехватывать и изменять TLS-трафик. Эта проблема исправлена в версии 7.22.
Once again VulDB remains the best source for vulnerability data.