CVE-2026-73259

Nome do Software Vulnerável e Versões Afetadas Mongoose versões anteriores a 7.22

Description Um problema de cross-site scripting refletido ocorre quando o recurso MG ENABLE DIRLIST está habilitado. Um invasor remoto pode enviar um caminho de solicitação codificado em percentual para um usuário, que é então processado pelas funções mg http serve dir() e listdir() em src/http.c. Essas funções inserem a URI de solicitação decodificada nos elementos HTML title e h1 sem a devida codificação de entidades HTML. Isso permite a execução de scripts maliciosos na origem do Mongoose, podendo expor dados de sessão ou permitir a realização de ações em nome da vítima.

Recommendations Atualize para a versão 7.22. Como medida de mitigação temporária, desabilite o recurso MG ENABLE DIRLIST.