PT-2026-79082
CVE-2026-73258
·
تاريخ النشر
2026-08-20
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Mongoose الأقدم من 7.22
الوصف
يمكن لمهاجم عن بُعد إدراج حرف إرجاع عربة أو تغذية سطر منفرد في مدخلات متعددة الأجزاء تتم معالجتها بواسطة الدالة
mg http next multipart() في src/http.c. تفشل المنطقية المستخدمة لمقارنة الأحرف في الحلقات بسبب شرط AND غير صحيح، مما يتسبب في توقف العملية عندما يشبه أي حرف جزءًا من مُنهي CRLF (إرجاع عربة وتغذية سطر). ينتج عن ذلك اقتطاع الحدود أو أسماء الملفات أو الرؤوس، مما قد يؤدي إلى قبول التطبيق لمحتوى ضار بالاعتماد على قيمة Content-Type مضللة.التوصيات
قم بالتحديث إلى الإصدار 7.22.
كحل مؤقت، قم بتقييد استخدام الدالة
mg http next multipart() حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾