CVE-2026-107825
ŚrednieCVSS 4.0Streszczenie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessURI w internal/corazawaf/transaction.go, która obsługuje błąd url.ParseRequestURI, zachowując surowy URI, ale pozostawiając QUERY_STRING, ARGS_GET, ARGS_GET_NAMES i część ARGS pochodzącą z GET puste. Nieuwierzytelniony atakujący może umieścić bajty kontrolne w URI przekazywanym bezpośrednio przez integracje takie jak coraza-spoa, coraza-proxy-wasm, niestandardowe hosty FFI lub hosty WASM, powodując, że Coraza pominie parametry zapytania, które integracja może nadal przetwarzać, co pozwala na ominięcie reguł dotyczących tych zmiennych. Problem został naprawiony w wersji 3.8.0.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia reguł WAF, co może pozwolić na ataki, które powinny być zablokowane, szczególnie w integracjach innych niż standardowe.
Rekomendacja
Zaleca się aktualizację Coraza WAF do wersji 3.8.0, która zawiera poprawkę. Należy również sprawdzić, czy integracje są zgodne z poprawką.
Inne podatności w OWASP Coraza WAF
Zobacz wszystkie- CVE-2026-107835Średnie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, przed wersją 3.8.1, ma podatność w funkcji internal/cookies.ParseCookies, która inaczej obsługuje kontrolne znaki ASCII i nazwy ciasteczek składające się tylko z kontroli lub puste niż kilka backendowych parserów ciasteczek. Nieuwierzytelniony atakujący może spreparować nagłówek Cookie tak, aby Coraza indeksowała lub pomijała ciasteczko pod inną nazwą lub wartością niż backend, co powoduje, że reguły dotyczące REQUEST_COOKIES lub REQUEST_COOKIES_NAMES nie wykrywają danych widocznych dla aplikacji. Problem został naprawiony w wersji 3.8.1.
- CVE-2026-107834Średnie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w pętli multipart w internal/bodyprocessors/multipart.go, która wykonuje defer temp.Close() dla każdej części pliku, przez co każdy deskryptor pliku tymczasowego pozostaje otwarty do czasu zakończenia całego żądania. Nieuwierzytelniony atakujący może przesłać treść multipart zawierającą wiele minimalnych części plików i wyczerpać tabelę deskryptorów plików procesu w limicie rozmiaru treści żądania, powodując błędy os.CreateTemp, odpowiedzi MULTIPART_STRICT_ERROR, zablokowanie legalnych uploadów i brak możliwości otwierania plików lub gniazd w całym procesie. Problem został naprawiony w wersji 3.8.0.
- CVE-2026-107833Średnie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessResponse w internal/bodyprocessors/json.go, która przekazuje wartość ignoreJSONRecursionLimit równą -1 do readJSON, podczas gdy rekurencyjna ochrona zatrzymuje się tylko przy zerze. Atakujący sieciowy, który może spowodować, że aplikacja chroniona przez Coraza zwróci głęboko zagnieżdżony JSON, może sprawić, że przetwarzanie treści odpowiedzi będzie wykonywać pracę kwadratową, zużywając jeden rdzeń CPU przez sekundy na odpowiedź w ramach domyślnego ResponseBodyLimit. Problem został naprawiony w wersji 3.8.0.
- CVE-2023-40586Wysokie
OWASP Coraza WAF, biblioteka zapory aplikacji webowej kompatybilna z modsecurity, ulega awarii w wyniku niewłaściwego użycia `log.Fatalf`. Aplikacja przestaje działać po otrzymaniu spreparowanych żądań od atakujących, co prowadzi do natychmiastowego zablokowania po wystąpieniu błędu w `mime.ParseMediaType`.
Oryginalny opis (angielski, źródło NVD)
OWASP Coraza WAF is a golang modsecurity compatible web application firewall library. From 3.0.0 until 3.8.0, ProcessURI in internal/corazawaf/transaction.go handles a url.ParseRequestURI failure by retaining the raw URI but leaving QUERY_STRING, ARGS_GET, ARGS_GET_NAMES, and the GET-derived portion of ARGS empty. An unauthenticated attacker can place control bytes in a URI passed directly by integrations such as coraza-spoa, coraza-proxy-wasm, custom FFI hosts, or WASM hosts, causing Coraza to omit query parameters that the downstream integration may still process and allowing rules targeting those variables to be bypassed. The bundled coraza/v3/http integration is not affected because Go net/http rejects such malformed request targets before calling Coraza. This issue is fixed in version 3.8.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS