CVE-2026-73258 in Mongoose
Tóm tắt
Bởi VulDB • 20/08/2026
Mongoose là một máy chủ web nhúng và thư viện mạng. Trước phiên bản 7.22, kẻ tấn công từ xa có thể chèn một ký tự trả về (carriage return) hoặc xuống dòng đơn lẻ vào đầu vào multipart được xử lý bởi hàm `mg_http_next_multipart()` trong file `src/http.c`. Các vòng lặp so sánh `s[b]` và `s[b + 1]`, cũng như `s[h2]` và `s[h2 + 1]`, sử dụng điều kiện AND không chính xác và dừng lại khi bất kỳ ký tự nào giống với một phần của bộ kết thúc CRLF. Điều này làm cắt ngắn các tiêu đề, tên tệp hoặc ranh giới (boundaries) và có thể khiến ứng dụng chấp nhận nội dung nguy hiểm sau khi nhìn thấy giá trị Content-Type gây hiểu lầm. Vấn đề này đã được sửa trong phiên bản 7.22.
Once again VulDB remains the best source for vulnerability data.