io.moquette:moquette-broker has a Missing Authorization issue — GHSA-9JJC-FW8X-FMWX

GitHub · GitHub · GHSA-9JJC-FW8X-FMWX

ID
GHSA-9JJC-FW8X-FMWX

Datum
2026-09-18

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
7.5

Zusammenfassung

## Summary Moquette MQTT Broker fails to enforce ACL write permission checks when publishing Will (Last Will and Testament) messages on behalf of disconnected clients. All normal PUBLISH paths (`receivedPublishQos0`, `receivedPublishQos1`, `receivedPublishQos2`) correctly invoke `authorizator.canWrite()` before publishing, but the Will message publishing path (`fireWill()` → `publishWill()` →…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-18

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 7.5 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: maven: io.moquette:moquette-broker.

Produkt

maven: io.moquette:moquette-broker

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-9JJC-FW8X-FMWX
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-18
Letzte Quellenaktivität: 2026-09-18
Weitere Kennungen: CVE-2026-85058
Kuratiert von: hlukh.ch