p PatchFirst

CVE-2026-73257

CVE-2026-73257 · Mongoose: Content-Length + Transfer-Encoding coexistence enables request smuggling

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Mongoose is an embedded web server and network library. Priro to version 7.22, a remote unauthenticated attacker can send an HTTP request containing both Content-Length and Transfer-Encoding: chunked. The cl_count and te_count checks in the mg_http_parse() and http_cb() paths in src/http.c accept both headers and prioritize chunked encoding, while a Content-Length-preferring reverse proxy can use a different request boundary. This CL.TE desynchronization can inject requests that access or modify resources in another user context. This issue is fixed in version 7.22.

CVSS 9.1 · Kritisch · EPSS 0,7% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • mongoose

    Softwareversionen
    • < 7.22: Betroffen

    Keine Korrektur veröffentlicht

  • mongoose Debian:14

    Softwareversionen
    • 7.21+ds-1
    • 7.21+ds-1~bpo13+1
    • 7.21+ds-2
    • 7.22+ds-1~bpo13+1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 7.22+ds-1

    Auf 7.22+ds-1 aktualisieren

  • mongoose Ubuntu:26.10

    Softwareversionen
    • 7.21+ds-1
    • 7.21+ds-2
    • 7.22+ds-1
    • 7.23+ds-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →