CVE-2026-44639 — NanoMQ — Corrigé dans 0.24.14

NanoMQ est un broker MQTT. Avant la version 0.24.14, le décodeur de propriétés MQTT v5 de NanoMQ dans nng/src/supplemental/mqtt/mqtt_codec.c utilise property_append() pour parcourir toute la liste chaînée à chaque propriété ajoutée par decode_buf_properties(). Un client distant non authentifié peut envoyer un paquet PUBLISH ou SUBSCRIBE contenant de nombreuses propriétés utilisateur, provoquant des insertions dans la liste chaînée et une charge CPU en O(N²), qui rendent le broker inopérant ; des paquets répétés peuvent maintenir le déni de service. Ce problème est corrigé dans la version 0.24.14.