CVE-2026-73253— Mongoose TLS主机名验证绕过漏洞
一分钟漏洞结论
影响对象
cesanta mongoose
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Mongoose 是一个嵌入式 Web 服务器和网络库。在 7.22 版本之前，具有父域名通配符证书的中间人攻击者可以利用内置 TLS 栈伪装成更深层的子域，从而欺骗客户端。src/tls_builtin.c 中的 mg_tls_verify_cert_san() 和 mg_tls_verify_cert_cn() 函数调用了 mg_match()，而 mg_match() 中的通配符匹配规则可以跨越 DNS 标签边界，因此像 *.example.com 这样的模式可以匹配 foo.bar.example.com。
可能的 ATT&CK 技术 1 AI
T1557 · Adversary-in-the-Middle
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-73253 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Mongoose: TLS Hostname Verification Bypass via Overly Permissive Wildcard Matching
来源: CVE Program / CVE List V5
Vulnerability Description
Mongoose is an embedded web server and network library. Prior to version 7.22, an on-path network attacker with a wildcard certificate for a parent domain can impersonate deeper subdomains to a client using the built-in TLS stack. The mg_tls_verify_cert_san() and mg_tls_verify_cert_cn() functions in src/tls_builtin.c call mg_match(), whose wildcard can cross DNS label boundaries, so a pattern such as *.example.com can match foo.bar.example.com. The resulting hostname verification bypass permits interception and modification of TLS traffic. This issue is fixed in version 7.22.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
证书验证不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-73253 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-73253 的情报信息
请登录查看更多情报信息。
CVE-2026-73253 补丁与修复 (1)
CVE-2026-73253 厂商安全公告 (1)
CVE-2026-73253 厂商页面 (1)
同批安全公告 · cesanta · 2026-08-20 · 共 8 条
| CVE-2026-73251 | 9.3 CRITICAL | Mongoose 内置TLS证书链未验签漏洞 |
| CVE-2026-73257 | 9.1 CRITICAL | Mongoose Content-Length与Transfer-Encoding共存导致请求走私漏洞 |
| CVE-2026-73256 | 9.1 CRITICAL | Mongoose HTTP/1.0 检测偏移错误导致请求走私漏洞 |
| CVE-2026-73258 | 6.5 MEDIUM | Mongoose multipart解析逻辑错误漏洞 |
| CVE-2026-73255 | 6.5 MEDIUM | Mongoose SSI包含指令路径穿越漏洞 |
| CVE-2026-73254 | 5.4 MEDIUM | Mongoose 目录列表未转义文件名存储型XSS漏洞 |
| CVE-2026-73259 | 5.4 MEDIUM | Mongoose 目录列表渲染中反射型XSS漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-73253
暂无评论