CVE-2026-114100
ŚrednieCVSS 5.8Streszczenie
Coraza od wersji 3.0.4 przed 3.8.1 zawiera obejście inspekcji treści żądania, ponieważ wybór procesora treści porównuje całą wartość Content-Type dokładnie, więc ciała URL-encoded z parametrem media-type nie są parsowane. Nieuwierzytelniony atakujący może wysłać application/x-www-form-urlencoded; charset=UTF-8, aby utrzymać puste ARGS_POST i REQUEST_BODY, omijając reguły treści, podczas gdy backend nadal przetwarza ładunek.
Ocena ryzyka
Reguły WAF dotyczące treści żądania mogą zostać ominięte, umożliwiając dostarczenie złośliwych ładunków do aplikacji backendowej. Zwiększa to ryzyko ataków takich jak SQL injection czy XSS.
Rekomendacja
Zaktualizuj Coraza do wersji 3.8.1 lub nowszej. Do czasu aktualizacji rozważ normalizację lub blokowanie Content-Type z parametrami media-type.
Inne podatności w Coraza
Zobacz wszystkie- CVE-2026-114101Średnie
Coraza przed wersją 3.8.1 wyodrębnia nazwy plików z uploadów multipart za pomocą Go mime.ParseMediaType, który po cichu ignoruje parametry filename* RFC 5987 o zestawie znaków innym niż utf-8 lub us-ascii. Nieuwierzytelniony atakujący może wysłać fałszywą nazwę pliku, przez co reguły oparte na FILES nie widzą prawdziwej nazwy, a niebezpieczne uploady trafiają do backendów honorujących filename*.
- CVE-2026-114099Średnie
Coraza od wersji 3.0.0 przed 3.8.1 ma procesor treści JSON, który spłaszcza zagnieżdżone właściwości do nazw ARGS_POST rozdzielonych kropkami bez ucieczki literalnych kropek, przez co różne właściwości kolidują. Nieuwierzytelniony atakujący może dodać późniejszą właściwość z kropką, taką jak account.role, która nadpisuje złośliwą wartość zagnieżdżoną, ukrywając ładunki SQL injection przed regułami OWASP CRS, podczas gdy backend nadal je otrzymuje.
Oryginalny opis (angielski, źródło NVD)
Coraza from 3.0.4 before 3.8.1 contains a request body inspection bypass because request-body processor selection compares the entire Content-Type value exactly, so URL-encoded bodies whose Content-Type carries a media-type parameter are never parsed. Unauthenticated attackers can send application/x-www-form-urlencoded; charset=UTF-8 to keep ARGS_POST and REQUEST_BODY empty, evading body rules while the backend still processes the payload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS