CVE-2026-114101
ŚrednieCVSS 4.0Streszczenie
Coraza przed wersją 3.8.1 wyodrębnia nazwy plików z uploadów multipart za pomocą Go mime.ParseMediaType, który po cichu ignoruje parametry filename* RFC 5987 o zestawie znaków innym niż utf-8 lub us-ascii. Nieuwierzytelniony atakujący może wysłać fałszywą nazwę pliku, przez co reguły oparte na FILES nie widzą prawdziwej nazwy, a niebezpieczne uploady trafiają do backendów honorujących filename*.
Ocena ryzyka
Możliwe jest obejście reguł WAF dotyczących uploadów i dostarczenie niebezpiecznych plików do aplikacji backendowej. Może to prowadzić do zdalnego wykonania kodu lub innych ataków.
Rekomendacja
Zaktualizuj Coraza do wersji 3.8.1 lub nowszej. Do czasu aktualizacji rozważ blokowanie żądań z parametrem filename* o nietypowych zestawach znaków.
Inne podatności w Coraza
Zobacz wszystkie- CVE-2026-114100Średnie
Coraza od wersji 3.0.4 przed 3.8.1 zawiera obejście inspekcji treści żądania, ponieważ wybór procesora treści porównuje całą wartość Content-Type dokładnie, więc ciała URL-encoded z parametrem media-type nie są parsowane. Nieuwierzytelniony atakujący może wysłać application/x-www-form-urlencoded; charset=UTF-8, aby utrzymać puste ARGS_POST i REQUEST_BODY, omijając reguły treści, podczas gdy backend nadal przetwarza ładunek.
- CVE-2026-114099Średnie
Coraza od wersji 3.0.0 przed 3.8.1 ma procesor treści JSON, który spłaszcza zagnieżdżone właściwości do nazw ARGS_POST rozdzielonych kropkami bez ucieczki literalnych kropek, przez co różne właściwości kolidują. Nieuwierzytelniony atakujący może dodać późniejszą właściwość z kropką, taką jak account.role, która nadpisuje złośliwą wartość zagnieżdżoną, ukrywając ładunki SQL injection przed regułami OWASP CRS, podczas gdy backend nadal je otrzymuje.
Oryginalny opis (angielski, źródło NVD)
Coraza before 3.8.1 extracts multipart upload filenames with Go's mime.ParseMediaType, which silently ignores RFC 5987 filename* parameters whose charset is not utf-8 or us-ascii. Unauthenticated attackers can send a decoy filename with filename*=iso-8859-1''shell.php, or filename* alone, so FILES-based rules never see the real name, letting dangerous uploads reach backends that honor filename*.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS