CVE-2026-41504

OWASP Coraza WAF od wersji 3.4.0 do 3.8.0 zawiera podatność w procesorze multipart, który traktuje błąd io.ErrUnexpectedEOF jako niekrytyczny bez ustawiania MULTIPART_STRICT_ERROR. Zdalny atakujący może wysłać obcięte ciało multipart, powodując zatrzymanie parsowania bez podniesienia sygnału błędu ścisłego używanego przez zalecaną regułę obronną, co pozwala na dotarcie do backendu z payloadami wykorzystującymi niezgodność parsera.

OWASP Coraza WAF to biblioteka zapory aplikacji webowych w Go, kompatybilna z modsecurity. Od wersji 3.0.0 do 3.8.1, Coraza po cichu pomija argumenty po przekroczeniu SecArgumentsLimit w internal/corazawaf/transaction.go, podczas gdy internal/bodyprocessors/urlencoded.go zapisuje ARGS_POST bez egzekwowania limitu. Błąd jest wyzwalany, gdy nieuwierzytelniony atakujący wysyła więcej argumentów niż SecArgumentsLimit lub dostarcza ciała, które rozszerzają się poza skonfigurowane budżety argumentów i spłaszczania. Nieuwierzytelniony atakujący może zalać żądania argumentami, aby nadmiarowe wartości były po cichu pomijane z ARGS, ARGS_GET, ARGS_NAMES, ARGS_GET_NAMES, ARGS_POST lub ARGS_PATH przed sprawdzeniem przez reguły bezpieczeństwa; dotknięte przetwarzanie urlencoded i JSON może również zużywać nadmierną pamięć. Pominięcie może ominąć reguły WAF chroniące aplikację downstream, a nieograniczone lub wzmocnione przetwarzanie argumentów może powodować zużycie pamięci i degradację usługi. Problem naprawiono w wersji 3.8.1.

OWASP Coraza WAF to biblioteka firewalla aplikacji webowych kompatybilna z modsecurity dla Go. Od wersji 3.0.0 do 3.8.0 transformacja t:jsDecode w internal/transformations/js_decode.go:64-70 zawiera backslash w buforze ósemkowym, powodując błąd ParseInt i zwrócenie bajtu null. Błąd jest wyzwalany, gdy reguła polega na t:jsDecode, a żądanie zawiera sekwencje ósemkowe JavaScript. Nieuwierzytelniony atakujący może zakodować składnię ataku za pomocą ósemkowych sekwencji JavaScript, aby backend zdekodował zamierzone bajty, podczas gdy reguły Coraza używające t:jsDecode analizują uszkodzone dane wyjściowe z bajtem null. Ta niezgodność może obejść reguły WAF i narazić chronioną aplikację na ataki, takie jak cross-site scripting lub SQL injection. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, przed wersją 3.8.1, ma podatność w funkcji internal/cookies.ParseCookies, która inaczej obsługuje kontrolne znaki ASCII i nazwy ciasteczek składające się tylko z kontroli lub puste niż kilka backendowych parserów ciasteczek. Nieuwierzytelniony atakujący może spreparować nagłówek Cookie tak, aby Coraza indeksowała lub pomijała ciasteczko pod inną nazwą lub wartością niż backend, co powoduje, że reguły dotyczące REQUEST_COOKIES lub REQUEST_COOKIES_NAMES nie wykrywają danych widocznych dla aplikacji. Problem został naprawiony w wersji 3.8.1.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w pętli multipart w internal/bodyprocessors/multipart.go, która wykonuje defer temp.Close() dla każdej części pliku, przez co każdy deskryptor pliku tymczasowego pozostaje otwarty do czasu zakończenia całego żądania. Nieuwierzytelniony atakujący może przesłać treść multipart zawierającą wiele minimalnych części plików i wyczerpać tabelę deskryptorów plików procesu w limicie rozmiaru treści żądania, powodując błędy os.CreateTemp, odpowiedzi MULTIPART_STRICT_ERROR, zablokowanie legalnych uploadów i brak możliwości otwierania plików lub gniazd w całym procesie. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessResponse w internal/bodyprocessors/json.go, która przekazuje wartość ignoreJSONRecursionLimit równą -1 do readJSON, podczas gdy rekurencyjna ochrona zatrzymuje się tylko przy zerze. Atakujący sieciowy, który może spowodować, że aplikacja chroniona przez Coraza zwróci głęboko zagnieżdżony JSON, może sprawić, że przetwarzanie treści odpowiedzi będzie wykonywać pracę kwadratową, zużywając jeden rdzeń CPU przez sekundy na odpowiedź w ramach domyślnego ResponseBodyLimit. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessURI w internal/corazawaf/transaction.go, która obsługuje błąd url.ParseRequestURI, zachowując surowy URI, ale pozostawiając QUERY_STRING, ARGS_GET, ARGS_GET_NAMES i część ARGS pochodzącą z GET puste. Nieuwierzytelniony atakujący może umieścić bajty kontrolne w URI przekazywanym bezpośrednio przez integracje takie jak coraza-spoa, coraza-proxy-wasm, niestandardowe hosty FFI lub hosty WASM, powodując, że Coraza pominie parametry zapytania, które integracja może nadal przetwarzać, co pozwala na ominięcie reguł dotyczących tych zmiennych. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji webowej kompatybilna z modsecurity, ulega awarii w wyniku niewłaściwego użycia `log.Fatalf`. Aplikacja przestaje działać po otrzymaniu spreparowanych żądań od atakujących, co prowadzi do natychmiastowego zablokowania po wystąpieniu błędu w `mime.ParseMediaType`.