CVE-2026-73257 in Mongoose
Tóm tắt
Bởi VulDB • 20/08/2026
Mongoose là một máy chủ web nhúng và thư viện mạng. Trước phiên bản 7.22, kẻ tấn công từ xa không xác thực có thể gửi yêu cầu HTTP chứa cả Content-Length và Transfer-Encoding: chunked. Các kiểm tra cl_count và te_count trong các đường dẫn mg_http_parse() và http_cb() trong src/http.c chấp nhận cả hai tiêu đề này và ưu tiên mã hóa chunked, trong khi một proxy ngược ưu tiên Content-Length có thể sử dụng ranh giới yêu cầu khác. Sự mất đồng bộ CL.TE này có thể tiêm các yêu cầu truy cập hoặc sửa đổi tài nguyên trong ngữ cảnh của người dùng khác. Vấn đề này đã được khắc phục trong phiên bản 7.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.