CVE-2026-107833
ŚrednieCVSS 5.9Streszczenie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessResponse w internal/bodyprocessors/json.go, która przekazuje wartość ignoreJSONRecursionLimit równą -1 do readJSON, podczas gdy rekurencyjna ochrona zatrzymuje się tylko przy zerze. Atakujący sieciowy, który może spowodować, że aplikacja chroniona przez Coraza zwróci głęboko zagnieżdżony JSON, może sprawić, że przetwarzanie treści odpowiedzi będzie wykonywać pracę kwadratową, zużywając jeden rdzeń CPU przez sekundy na odpowiedź w ramach domyślnego ResponseBodyLimit. Problem został naprawiony w wersji 3.8.0.
Ocena ryzyka
Ryzyko polega na możliwości przeciążenia CPU, co może prowadzić do spowolnienia usługi lub odmowy usługi (DoS) dla innych żądań.
Rekomendacja
Zaleca się aktualizację Coraza WAF do wersji 3.8.0, która zawiera poprawkę. Należy również rozważyć ograniczenie głębokości zagnieżdżenia JSON.
Inne podatności w OWASP Coraza WAF
Zobacz wszystkie- CVE-2026-107835Średnie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, przed wersją 3.8.1, ma podatność w funkcji internal/cookies.ParseCookies, która inaczej obsługuje kontrolne znaki ASCII i nazwy ciasteczek składające się tylko z kontroli lub puste niż kilka backendowych parserów ciasteczek. Nieuwierzytelniony atakujący może spreparować nagłówek Cookie tak, aby Coraza indeksowała lub pomijała ciasteczko pod inną nazwą lub wartością niż backend, co powoduje, że reguły dotyczące REQUEST_COOKIES lub REQUEST_COOKIES_NAMES nie wykrywają danych widocznych dla aplikacji. Problem został naprawiony w wersji 3.8.1.
- CVE-2026-107834Średnie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w pętli multipart w internal/bodyprocessors/multipart.go, która wykonuje defer temp.Close() dla każdej części pliku, przez co każdy deskryptor pliku tymczasowego pozostaje otwarty do czasu zakończenia całego żądania. Nieuwierzytelniony atakujący może przesłać treść multipart zawierającą wiele minimalnych części plików i wyczerpać tabelę deskryptorów plików procesu w limicie rozmiaru treści żądania, powodując błędy os.CreateTemp, odpowiedzi MULTIPART_STRICT_ERROR, zablokowanie legalnych uploadów i brak możliwości otwierania plików lub gniazd w całym procesie. Problem został naprawiony w wersji 3.8.0.
- CVE-2026-107825Średnie
OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessURI w internal/corazawaf/transaction.go, która obsługuje błąd url.ParseRequestURI, zachowując surowy URI, ale pozostawiając QUERY_STRING, ARGS_GET, ARGS_GET_NAMES i część ARGS pochodzącą z GET puste. Nieuwierzytelniony atakujący może umieścić bajty kontrolne w URI przekazywanym bezpośrednio przez integracje takie jak coraza-spoa, coraza-proxy-wasm, niestandardowe hosty FFI lub hosty WASM, powodując, że Coraza pominie parametry zapytania, które integracja może nadal przetwarzać, co pozwala na ominięcie reguł dotyczących tych zmiennych. Problem został naprawiony w wersji 3.8.0.
- CVE-2023-40586Wysokie
OWASP Coraza WAF, biblioteka zapory aplikacji webowej kompatybilna z modsecurity, ulega awarii w wyniku niewłaściwego użycia `log.Fatalf`. Aplikacja przestaje działać po otrzymaniu spreparowanych żądań od atakujących, co prowadzi do natychmiastowego zablokowania po wystąpieniu błędu w `mime.ParseMediaType`.
Oryginalny opis (angielski, źródło NVD)
OWASP Coraza WAF is a golang modsecurity compatible web application firewall library. From 3.0.0 until 3.8.0, ProcessResponse in internal/bodyprocessors/json.go passes the ignoreJSONRecursionLimit value of -1 to readJSON, while the recursive guard only stops at zero. A network attacker who can cause an application protected by Coraza to return deeply nested JSON can make response-body processing perform quadratic work, consuming one CPU core for seconds per response within the default ResponseBodyLimit. Request JSON processing is not affected by this specific path because it uses the configured request recursion limit, and exploitation requires response-body inspection to be enabled. This issue is fixed in version 3.8.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS