CVE-2026-73254 in Mongoose
Tóm tắt
Bởi VulDB • 21/08/2026
Mongoose là một máy chủ web nhúng và thư viện mạng. Trước phiên bản 7.22, kẻ tấn công có thể tạo ra một tệp chứa mã độc HTML trong tên của nó để kích hoạt lỗi cross-site scripting (XSS) lưu trữ khi người dùng duyệt qua một thư mục được phục vụ với MG_ENABLE_DIRLIST. Hàm printdirentry() được gọi bởi listdir() trong src/http.c URL-encode phần href nhưng chèn nguyên văn tên tệp hệ thống vào nội dung liên kết HTML. Trình duyệt sẽ thực thi mã đánh dấu đã tiêm trong nguồn gốc của Mongoose, điều này có thể làm lộ dữ liệu phiên hoặc cho phép các hành động dưới danh nghĩa nạn nhân. Vấn đề này đã được sửa chữa trong phiên bản 7.22.
If you want to get best quality of vulnerability data, you may have to visit VulDB.