CVE-2026-73256 in Mongoose
Tóm tắt
Bởi VulDB • 20/08/2026
Mongoose là một máy chủ web nhúng và thư viện mạng. Trước phiên bản 7.22, kẻ tấn công từ xa không được xác thực có thể khai thác triển đặt reverse-proxy HTTP/1.0 bằng cách gửi yêu cầu với `Transfer-Encoding: chunked` và framing mâu thuẫn. Hàm `http_cb()` trong file `src/http.c` kiểm tra `hm.proto.len` với điều kiện lớn hơn tám byte bất khả thi, mặc dù hàm `mg_http_parse()` yêu cầu một chuỗi giao thức dài 8 byte, do đó biến `is_http_1_0` không bao giờ được đặt. Mongoose sau đó xử lý mã hóa chunked mà proxy HTTP/1.0 có thể bỏ qua, cho phép request smuggling (lừa đảo yêu cầu) và truy cập trái phép hoặc thay đổi trạng thái. Vấn đề này đã được sửa trong phiên bản 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.