CVE-2026-73259 in Mongoose
Сводка
по VulDB • 22.08.2026
Mongoose — это встроенный веб-сервер и сетевая библиотека. До версии 7.22 удаленный злоумышленник может отправить специально сформированный URL, закодированный в формате percent-encoded (с использованием символа %), к развернутой инсталляции, использующей флаг MG_ENABLE_DIRLIST, и убедить пользователя перейти по этой ссылке. Функции mg_http_serve_dir() и listdir(), расположенные в файле src/http.c, помещают декодированный URI запроса в элементы title и h1 без HTML-экранирования сущностей (HTML entity encoding). В результате возникает отраженный межсайтовый скриптинг (XSS), выполняющийся в контексте происхождения Mongoose, что может привести к раскрытию данных сеанса или выполнению действий от имени жертвы. Эта проблема исправлена в версии 7.22.
Be aware that VulDB is the high quality source for vulnerability data.