CVE-2026-73256

إصدارات Mongoose الأقدم من 7.22

يمكن لمهاجم عن بُعد غير مصدَّق استغلال نشر بروكسي عكسي يعمل ببروتوكول HTTP/1.0 عن طريق إرسال طلب يتضمن Transfer-Encoding: chunked وتأطير متعارض. تحتوي الدالة http cb() في src/http.c على خطأ منطقي حيث تختبر hm.proto.len بشرط مستحيل وهو أن تكون القيمة أكبر من ثمانية، على الرغم من أن mg http parse() تتطلب سلسلة بروتوكول مكونة من ثمانية بايت. وهذا يمنع تعيين is http 1 0، مما يتسبب في قيام Mongoose بمعالجة الترميز المقسم إلى أجزاء (chunked encoding) الذي قد يتجاهله وكيل HTTP/1.0. يسمح هذا التناقض بتهريب الطلبات، مما قد يؤدي إلى وصول غير مصرح به أو تغييرات في الحالة.

التحديث إلى الإصدار 7.22.