CVE-2026-73256

Mongoose, gömülü bir web sunucusu ve ağ kütüphanesidir. 7.22 sürümünden önce, kimliği doğrulanmamış uzak bir saldırgan, Transfer-Encoding: chunked içeren ve çelişkili çerçeveleme yapısına sahip bir istek göndererek HTTP/1.0 ters proxy kurulumundaki bir açıktan faydalanabilir. src/http.c dosyasındaki http_cb() fonksiyonu, mg_http_parse() sekiz baytlık bir protokol dizisi gerektirmesine rağmen hm.proto.len değerini imkansız bir sekizden büyük olma koşuluyla test eder, bu nedenle is_http_1_0 hiçbir zaman ayarlanmaz. Sonuç olarak Mongoose, bir HTTP/1.0 proxy'sinin görmezden gelebileceği parçalı (chunked) kodlamayı işleyerek istek kaçakçılığına (request smuggling) ve yetkisiz erişime veya durum değişikliklerine olanak tanır. Bu sorun 7.22 sürümünde düzeltilmiştir.