CVE-2026-73257

Nome do Software Vulnerável e Versões Afetadas Mongoose versões anteriores a 7.22

Descrição Um invasor remoto não autenticado pode enviar uma solicitação HTTP contendo os cabeçalhos Content-Length e Transfer-Encoding: chunked. As verificações cl count e te count nas funções mg http parse() e http cb() em src/http.c aceitam ambos os cabeçalhos, mas priorizam a codificação chunked. Se um proxy reverso preferir Content-Length, ocorre uma dessincronização CL.TE, permitindo que o invasor injete solicitações que acessem ou modifiquem recursos no contexto de outro usuário. A dessincronização CL.TE é um tipo de request smuggling onde os servidores de front-end e back-end divergem sobre onde termina uma solicitação.

Recomendações Atualizar para a versão 7.22.