CVE-2023-38285
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
ModSecurity w wersji 3.x przed 3.0.10 zawiera problem z nieefektywną złożonością algorytmiczną.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do obniżenia wydajności systemu, co może wpłynąć na dostępność usług.
Rekomendacja
Zaleca się aktualizację ModSecurity do wersji 3.0.10 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w ModSecurity 3.x
Zobacz wszystkie- CVE-2026-42268Wysokie
ModSecurity to silnik zapory aplikacji webowych, który w wersjach od 3.0.0 do przed 3.0.15 zawiera nieobsługiwany wyjątek spowodowany niedoborem liczby całkowitej bez znaku. Problem występuje, gdy administrator używa reguły @verifySSN, @verifyCPF lub @verifySVNR.
- CVE-2026-52761Średnie
Podatność w ModSecurity od wersji 3.0.0 do 3.0.15 dotyczy transformacji t:utf8toUnicode na architekturze i386. Błąd w kodzie powoduje, że funkcja snprintf używa rozmiaru wskaźnika zamiast długości bufora Unicode, co prowadzi do nieprawidłowego wyniku i umożliwia ominięcie reguł WAF.
- CVE-2026-52747Wysokie
ModSecurity przed wersją 3.0.16 zawiera podatność w parserze multipart/form-data, która powoduje ciche usuwanie znaków nowej linii z wartości pól formularza niebędących plikami. Dzieje się tak, ponieważ kod nadpisuje zarezerwowane bajty zamiast dołączać bieżący bufor, co prowadzi do różnic w parsowaniu między ModSecurity a aplikacjami backendowymi.
Oryginalny opis (angielski, źródło NVD)
Trustwave ModSecurity 3.x before 3.0.10 has Inefficient Algorithmic Complexity.