Swupdate
Уязвимости
22
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.41366
Распределение по критичности
Критический
6
Высокий
6
Средний
4
Низкий
6
Также сопоставлено как (исходные строки): swupdate
Топ уязвимостей
CVE-2020-25756Существует уязвимость переполнения буфера в функции mg_get_http_header в Cesanta Mongoose 6.18 из-за отсутствия проверки границ. Специально созданный HTTP-заголовок может использовать эту ошибку. ПРИМЕЧАНИЕ: один из разработчиков заявил, что «этого не произойдет на практике».
CVE-2019-19307Переполнение целого числа в parse_mqtt в mongoose.c в Cesanta Mongoose 6.16 позволяет злоумышленнику вызвать удаленный DoS (бесконечный цикл) или, возможно, вызвать запись за пределы выделенной памяти, отправив специально созданный пакет протокола MQTT.
CVE-2019-12951В Mongoose до версии 6.15 функция parse_mqtt() в mg_mqtt.c имеет критическую уязвимость переполнения буфера на основе кучи.
CVE-2021-26530Функция mg_tls_init в Cesanta Mongoose HTTPS server 7.0 (скомпилированная с поддержкой OpenSSL) уязвима для удаленной атаки OOB write через запрос подключения после исчерпания пула памяти.
CVE-2021-26529Функция mg_tls_init в Cesanta Mongoose HTTPS server 7.0 и 6.7-6.18 (скомпилированная с поддержкой mbedTLS) уязвима для удаленной атаки OOB write через запрос подключения после исчерпания пула памяти.
CVE-2021-26528Функция mg_http_serve_file в Cesanta Mongoose HTTP server 7.0 уязвима для удаленной атаки OOB write через запрос подключения после исчерпания пула памяти.
CVE-2020-25887Переполнение буфера в mg_resolve_from_hosts_file в Mongoose 6.18 при чтении из специально созданного файла hosts.
CVE-2026-28525SWUpdate содержит уязвимость недопотока в многочастном парсере загрузки в mongoose_multipart.c, что позволяет неаутентифицированным злоумышленникам вызывать отказ в обслуживании, отправляя созданный запрос HTTP POST на /upload с неправильно сформированной многочастной границей и контролируемым временем потока TCP. Злоумышленники могут инициировать целочисленный недобвной поток в функции mg_http_multipart_continue_wait_for_for_chunk(), когда длина буфера попадает в определенный диапазон, в результате чего куча внеграничной считываются мимо выделенного буфера приема в местный сокет IPC.
CVE-2025-51495Уязвимость переполнения междугороднего переполнения существует в компоненте WebSocket 7.5 до 7.17. Отправляя специально созданный запрос WebSocket, злоумышленник может привести к сбою приложения. Если поставщики ниже по течению интегрируют этот компонент ненадлежащим образом, проблема может привести к переполнению буфера.
CVE-2023-34188HTTP-сервер в Mongoose до версии 7.10 принимает запросы, содержащие отрицательные заголовки Content-Length. Отправив одну полезную нагрузку для атаки по TCP, злоумышленник может вызвать бесконечный цикл, в котором сервер постоянно перебирает эту полезную нагрузку и не отвечает на другие запросы.
CVE-2019-13503mq_parse_http в mongoose.c в Mongoose 6.15 имеет ошибку переполнения буфера на основе кучи.
CVE-2025-41259На SWUpdate до 2026.05 влияет время проверки времени использования (TOCTOU), которое позволяет местным непривилегированным злоумышленникам нагнетать привилегии для укоренения или установки ненадежного содержимого с использованием подписанного обновления.
CVE-2026-6985Слабость была выявлена в Cesanta Mongoose до 7.20. Эта уязвимость влияет на функцию ручки_оптика файла /src/net_builtin.c компонента TCP Option Обработчик. Эта манипуляция аргументом optlen вызывает бесконечный цикл. Нападение можно проводить дистанционно. Эксплойт был доступен для общественности и может быть использован для нападений. Обновление до версии 7.21 способно решить эту проблему. Повысить затрагиваемый компонент рекомендуется. VulDB связался с поставщиком рано, и они быстро подтвердили, что эта проблема уже устранена.
CVE-2026-5244Уязвимость была обнаружена в Cesanta Mongoose до 7,20. Это влияет на функцию mg_tls_recv_cert файла mongoose.c компонента TLS 1.3 Handler. Такое манипулирование аргументом pubkey приводит к переполнению буфера на основе куч. Атака может быть запущена дистанционно. Эксплойт был раскрыт общественности и может быть использован. Обновление до версии 7.21 смягчает эту проблему. Название патча: 0d882f1b23ff23098b7486a96d60cd6dba8a3f1. Целесуется модернизация пораженного компонента. С поставщиком связались рано, ответили очень профессионально и быстро выпустили фиксированную версию пострадавшего продукта.
CVE-2023-2905Из-за сбоя при проверке длины предоставленного разобранного сообщения MQTT_CMD_PUBLISH с заголовком переменной длины, Cesanta Mongoose, встраиваемый веб-сервер, версия 7.10, подвержен уязвимости переполнения буфера на основе кучи в конфигурации по умолчанию. Версия 7.9 и более ранние версии, по-видимому, не уязвимы. Эта проблема решена в версии 7.11.
CVE-2025-65502Отзыв указатель Null в add_ca_certs() в Cesanta Mongoose до 7.2 позволяет удаленным злоумышленникам вызвать отказ в обслуживании через инициализацию TLS, где SSL_CTX_get_cert_store() возвращает NULL.
CVE-2026-6986Уязвимость безопасности была обнаружена в Cesanta Mongoose до 7,20. Эта проблема затрагивает функцию mg_aes_gcm_decrypt файла /src/tls_aes128.c компонента GCM Authentication Tag Обработчик. Такая манипуляция приводит к неправильной проверке криптографической подписи. Атака может быть выполнена с удаленности. С этой атакой связан высокий уровень сложности. Эксплуатируемость оценивается как сложная. Эксплойт был раскрыт публично и может быть использован. Обновление до версии 7.21 способно решить эту проблему. Целесуется модернизация пораженного компонента. VulDB связался с поставщиком рано, и они быстро подтвердили, что эта проблема уже устранена.
CVE-2026-5246Уязвимость была определена в Cesanta Mongoose до 7,20. Затронута функция mg_tls_verify_cert_signature файла mongoose.c компонента P-384 Public Key Обработчик. Выполнение манипуляции может привести к авторизованному обходу. Нападение может быть выполнено дистанционно. Нападения такого рода очень сложны. Эксплуатируемость, как говорят, является сложной. Эксплойт был публично раскрыт и может быть использован. Обновление до версии 7.21 способно решить эту проблему. Этот патч называется 0d882f1b23ff2309b7486a56a96d6d6dba8a3f1. Пострадавший компонент должен быть модернизирован. С поставщиком связались рано, ответили очень профессионально и быстро выпустили фиксированную версию пострадавшего продукта.
CVE-2026-5245Уязвимость была обнаружена в Cesanta Mongoose до 7,20. Это влияет на функцию ручки_mdns_record файла mongoose.c компонента mDNS Record Handler. Выполнение манипуляций с аргументом, но приводит к переполнению буфера на основе стека. Удаленное использование атаки возможно. Для атаки необходима высокая степень сложности. Говорят, что эксплуататорские способности являются трудными. Эксплойт был обнародован и может быть использован. Обновление до версии 7.21 исправит эту проблему. Патч называется 0d882f1b23ff2309b7486a96d60cd6dba8a3f1. Вы должны обновить пораженный компонент. С поставщиком связались рано, ответили очень профессионально и быстро выпустили фиксированную версию пострадавшего продукта.
CVE-2026-2968Уязвимость была обнаружена в Cesanta Mongoose до 7,20. Это влияет на функцию mg_chacha20_poly1305_decrypt файла /src/tls_chacha20.c компонента Poly1305 Authentication Tag Handler. Манипуляции приводят к неправильной проверке криптографической подписи. Атака может быть запущена дистанционно. Эта атака характеризуется высокой сложностью. Говорят, что эксплуататорские функции являются сложными. Эксплойт теперь публичный и может быть использован. С поставщиком связались рано по поводу этого раскрытия, но он никоими ответами не ответил.
CVE-2026-2967Уязвимость безопасности была обнаружена в Cesanta Mongoose до 7.20. Это влияет на функцию getpeer файла /src/net_builtin.c компонента TCP Sequence Обработчик номеров. Манипуляция приводит к неправильной проверке источника канала связи. Атака может быть инициирована дистанционно. Сложность атаки оценивается как высокая. По сообщениям, эксплуататорские операции являются трудными. Эксплойт был раскрыт публично и может быть использован. С поставщиком связались рано по поводу этого раскрытия, но он никоей не ответил.
CVE-2026-2966Слабость была выявлена в Cesanta Mongoose до 7,20. Пораженный элемент представляет собой функцию mg_sendnsreq файла /src/dns.c компонента DNS Transaction ID Обработчика. Выполнение случайного манипулирования аргументом может привести к недостаточно случайным значениям. Атака может быть запущена удаленно. Атака требует высокого уровня сложности. Эксплуатируемость считается трудной. Эксплойт был доступен для общественности и может быть использован для нападений. С поставщиком связались рано по поводу этого раскрытия, но он никоей не ответил.