CVE-2026-95848 · CVSS 9.1 · Moquette is a lightweight Java MQTT broker. Prior to 0.18.1, when a configured authenticator or authorizator class cannot be loaded, …

NVD (CVSS crítico) · 23 sept, 19:17

Moquette, un broker MQTT Java ligero, tiene una vulnerabilidad (CVE-2026-95848, CVSS 9.1) en versiones anteriores a 0.18.1 que desactiva la autenticación y autorización si la clase configurada no puede cargarse. Un nombre de clase mal escrito, dependencia faltante, fallo del constructor o problema de classpath hace que el broker inicie con estos controles deshabilitados, comprometiendo la seguridad incluso cuando el operador los configuró. Se corrige en la versión 0.18.1.