CVE-2026-115473

Nome do Software Vulnerável e Versões Afetadas Mongoose versões anteriores a 7.22

Descrição Existe um problema na função mg path is sane() em src/util.c onde o sistema lê path.buf[1] sem verificar se path.len possui pelo menos dois bytes, e lê s[2] quando restam apenas dois bytes. Requisições remotas não autenticadas direcionadas aos endpoints mg http upload ou mg http serve dir com formatos de caminho curtos específicos podem desencadear leituras de um byte fora dos limites do heap. Em alvos bare-metal ou RTOS (Sistema Operacional de Tempo Real) sem proteção de memória, bytes adjacentes podem ser expostos ou influenciar a aceitação de um caminho, e builds instrumentados podem travar.

Recomendações Atualizar para a versão 7.22.