Vulnerabilidad en nanomq (CVE-2026-32696)
Gravedad CVSS v3.1:
BAJA
Tipo:
CWE-476
Desreferencia a puntero nulo (NULL)
Fecha de publicación:
30/03/2026
Última modificación:
01/04/2026
Descripción
NanoMQ MQTT Broker (NanoMQ) es una plataforma de mensajería Edge integral. En la versión 0.24.6 de NanoMQ, después de habilitar auth.http_auth (autenticación HTTP), cuando un cliente se conecta al broker usando MQTT CONNECT sin proporcionar nombre de usuario/contraseña, y los parámetros de configuración usan los marcadores de posición %u / %P (por ejemplo, username='%u', password='%P'), la fase de construcción de la solicitud HTTP entra en auth_http.c:set_data(). Esto resulta en la llamada a strlen() sobre un puntero NULL, causando un fallo SIGSEGV. Este fallo puede ser activado remotamente, resultando en una denegación de servicio. Este problema ha sido parcheado en la versión 0.24.7.
Impacto
Puntuación base 3.x
3.10
Gravedad 3.x
BAJA