CVE-2026-73259 in Mongoose
摘要
由 VulDB • 2026-08-20
Mongoose 是一个嵌入式 Web 服务器和网络库。在 7.22 版本之前，远程攻击者可以向启用了 MG_ENABLE_DIRLIST 的部署发送经过精心构造的百分号编码请求路径，并诱骗用户访问该路径。src/http.c 中的 mg_http_serve_dir() 和 listdir() 函数将解码后的请求 URI 放入 title 和 h1 元素中，而未进行 HTML 实体编码。由此产生的反射型跨站脚本（XSS）将在 Mongoose 源上下文中执行，从而可能泄露会话数据或以受害者身份执行操作。此问题已在 7.22 版本中得到修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.