CVE-2026-114099
ŚrednieCVSS 5.8Streszczenie
Coraza od wersji 3.0.0 przed 3.8.1 ma procesor treści JSON, który spłaszcza zagnieżdżone właściwości do nazw ARGS_POST rozdzielonych kropkami bez ucieczki literalnych kropek, przez co różne właściwości kolidują. Nieuwierzytelniony atakujący może dodać późniejszą właściwość z kropką, taką jak account.role, która nadpisuje złośliwą wartość zagnieżdżoną, ukrywając ładunki SQL injection przed regułami OWASP CRS, podczas gdy backend nadal je otrzymuje.
Ocena ryzyka
Możliwe jest ukrycie złośliwych ładunków przed regułami WAF OWASP CRS i dostarczenie ich do backendu. Zwiększa to ryzyko udanych ataków SQL injection.
Rekomendacja
Zaktualizuj Coraza do wersji 3.8.1 lub nowszej. Do czasu aktualizacji rozważ dodatkową walidację treści JSON po stronie aplikacji.
Inne podatności w Coraza
Zobacz wszystkie- CVE-2026-114101Średnie
Coraza przed wersją 3.8.1 wyodrębnia nazwy plików z uploadów multipart za pomocą Go mime.ParseMediaType, który po cichu ignoruje parametry filename* RFC 5987 o zestawie znaków innym niż utf-8 lub us-ascii. Nieuwierzytelniony atakujący może wysłać fałszywą nazwę pliku, przez co reguły oparte na FILES nie widzą prawdziwej nazwy, a niebezpieczne uploady trafiają do backendów honorujących filename*.
- CVE-2026-114100Średnie
Coraza od wersji 3.0.4 przed 3.8.1 zawiera obejście inspekcji treści żądania, ponieważ wybór procesora treści porównuje całą wartość Content-Type dokładnie, więc ciała URL-encoded z parametrem media-type nie są parsowane. Nieuwierzytelniony atakujący może wysłać application/x-www-form-urlencoded; charset=UTF-8, aby utrzymać puste ARGS_POST i REQUEST_BODY, omijając reguły treści, podczas gdy backend nadal przetwarza ładunek.
Oryginalny opis (angielski, źródło NVD)
Coraza from 3.0.0 before 3.8.1 has a JSON body processor that flattens nested properties into dot-separated ARGS_POST names without escaping literal dots, so distinct properties collide. Unauthenticated attackers can add a later dotted property such as account.role that overwrites a malicious nested value, hiding SQL injection payloads from OWASP CRS rules while backends still receive them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS