CVE-2026-73251

Mongoose daxili veb server və şəbəkə kitabxanasıdır. Versiya 7.23-dən əvvəl, şəbəkə hücumçusu çoxsertifikatlı CA paketi ilə konfiqurasiya edilmiş Mongoose klientini aldataraq özünü TLS serveri kimi təqdim edə bilər. src/tls_builtin.c faylında, mg_tls_init() funksiyası paketi tls->ca_bundle_der-də saxlayır, lakin tls->ca_der.len sıfır olaraq qalır və mg_tls_recv_cert() funksiyası mg_tls_verify_cert_signature() funksiyasını çağırmadan Common Name uyğunluğunu qəbul etmək üçün tls_bundle_find()-dən istifadə edir. Buna görə də saxtalaşdırılmış özü imzalı sertifikat host adını və CertificateVerify yoxlamalarını keçə bilər və bu da məlumatların tutulmasına, etibarnamələrin ifşasına, trafikin dəyişdirilməsinə və zərərli cavabların göndərilməsinə imkan yaradır. Bu problem 7.23 versiyasında düzəldilib.