CVE-2026-44639 — NanoMQ — Corretto in 0.24.14

NanoMQ è un broker MQTT. Prima della versione 0.24.14, il decoder delle proprietà MQTT v5 di NanoMQ in nng/src/supplemental/mqtt/mqtt_codec.c usa property_append() per percorrere l'intera lista concatenata per ogni proprietà aggiunta da decode_buf_properties(). Un client remoto non autenticato può inviare un pacchetto PUBLISH o SUBSCRIBE contenente molte User Properties, causando inserimenti nella lista concatenata e lavoro della CPU di complessità O(N²), che rendono il broker non reattivo; pacchetti ripetuti possono mantenere attivo il denial of service. Il problema è stato risolto nella versione 0.24.14.