CVE-2026-73251

Nome do Software Vulnerável e Versões Afetadas Mongoose versões anteriores a 7.23

Description Um atacante de rede pode se passar por um servidor TLS para um cliente configurado com um pacote CA de múltiplos certificados. No arquivo src/tls builtin.c, a função mg tls init() armazena o pacote em tls->ca bundle der enquanto tls->ca der.len permanece em zero. Subsequentemente, a função mg tls recv cert() utiliza tls bundle find() para aceitar uma correspondência de Common Name sem invocar mg tls verify cert signature(). Isso permite que um certificado autoassinado forjado satisfaça as verificações de hostname e CertificateVerify, podendo levar à interceptação de tráfego, divulgação de credenciais, modificação de tráfego e respostas maliciosas.

Recommendations Atualizar para a versão 7.23.