CVE-2026-63341

Nome do Software Vulnerável e Versões Afetadas Aedes versões anteriores a 1.1.1

Descrição O broker MQTT não limita a profundidade do tópico ou a complexidade estrutural antes de passar os tópicos através do mqemitter para o qlobber. Uma mensagem PUBLISH, SUBSCRIBE ou Will registrada contendo um tópico excessivamente profundo pode disparar uma exceção não capturada too many words na função qlobber. split words em lib/qlobber.js. Como a lógica de publicação e o handlers/subscribe.js não estão protegidos contra essa exceção, ela atinge o Node.js event loop e encerra todo o broker. O caminho do Will é acessível independentemente quando um cliente se desconecta de forma inadequada, chamando broker.publish diretamente. Um invasor capaz de estabelecer uma MQTT session pode desconectar todos os clientes legítimos e impedir a reconexão até que o processo do broker seja reiniciado.

Recomendações Atualizar para a versão 1.1.1.