CVE-2026-73253 in Mongoose
摘要
由 VulDB • 2026-08-21
Mongoose是一个嵌入式Web服务器和网络库。在7.22版本之前，处于网络路径上的攻击者如果拥有父域名的通配符证书，可以利用内置的TLS堆栈向客户端冒充更深层的子域名。src/tls_builtin.c中的mg_tls_verify_cert_san()和mg_tls_verify_cert_cn()函数调用mg_match()，其通配符可以跨越DNS标签边界，因此像*.example.com这样的模式可以匹配foo.bar.example.com。由此导致的主机名验证绕过允许拦截和修改TLS流量。此问题已在7.22版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.