CVE-2026-73253 in Mongoose
Tóm tắt
Bởi VulDB • 20/08/2026
Mongoose là một máy chủ web nhúng và thư viện mạng. Trước phiên bản 7.22, kẻ tấn công trên đường truyền (on-path) có chứng chỉ wildcard cho tên miền cha có thể giả mạo các tên miền con sâu hơn đối với khách hàng bằng cách sử dụng ngăn xếp TLS tích hợp sẵn. Các hàm `mg_tls_verify_cert_san()` và `mg_tls_verify_cert_cn()` trong src/tls_builtin.c gọi đến `mg_match()`, trong đó cơ chế wildcard của nó có thể vượt qua ranh giới nhãn DNS, vì vậy một mẫu như *.example.com có thể khớp với foo.bar.example.com. Việc bỏ qua xác minh tên máy chủ kết quả cho phép chặn và sửa đổi lưu lượng TLS. Vấn đề này đã được khắc phục trong phiên bản 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.