cveboard Feed RSS

CVE-2026-85724

GitHubCrítica, maven

Moquette: injeção de wildcard Pattern-ACL (bypass de autorização entre inquilinos) mais um cluster DoS remoto não autenticado, um bypass de autorização de mensagem Will e um bug de corrupção durável entre sessões

Traduzido automaticamente do inglês.

moquette é acessível por clientes MQTT não confiáveis (anônimos por padrão), então cada byte de qualquer cliente, incluindo pré-autenticação, não é confiável. Isso é uma JVM segura para memória: o teto é o bypass de autorização/ACL + negação de serviço + integridade entre sessões, não RCE (não encontrei um e não afirmo um). Auditado no commit da7f719a6bab9829d520b5838e13ea7b1f9be3ef, módulo broker/.

Sem exploração conhecida
Gravidade
Crítica, CVSS 9.6 (v3.1)
EPSS
0,27% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados