CVE-2026-41510

OWASP Coraza WAF od wersji 3.4.0 do 3.8.0 zawiera podatność w procesorze multipart, który traktuje błąd io.ErrUnexpectedEOF jako niekrytyczny bez ustawiania MULTIPART_STRICT_ERROR. Zdalny atakujący może wysłać obcięte ciało multipart, powodując zatrzymanie parsowania bez podniesienia sygnału błędu ścisłego używanego przez zalecaną regułę obronną, co pozwala na dotarcie do backendu z payloadami wykorzystującymi niezgodność parsera.

OWASP Coraza WAF od wersji 3.0.0 do 3.8.0 zawiera podatność w natywnym formacie dziennika audytu, który zapisuje pola żądań i odpowiedzi kontrolowane przez atakującego bez neutralizowania znaków powrotu karetki lub nowej linii. Gdy włączony jest SecAuditLogFormat Native, wstrzyknięte znaki nowej linii mogą tworzyć sfałszowane linie wewnątrz rekordu transakcji, co może wprowadzić w błąd operatorów i przetwarzanie SIEM.

OWASP Coraza WAF to biblioteka firewalla aplikacji webowych kompatybilna z modsecurity dla Go. Od wersji 3.0.0 do 3.8.0 transformacja t:jsDecode w internal/transformations/js_decode.go:64-70 zawiera backslash w buforze ósemkowym, powodując błąd ParseInt i zwrócenie bajtu null. Błąd jest wyzwalany, gdy reguła polega na t:jsDecode, a żądanie zawiera sekwencje ósemkowe JavaScript. Nieuwierzytelniony atakujący może zakodować składnię ataku za pomocą ósemkowych sekwencji JavaScript, aby backend zdekodował zamierzone bajty, podczas gdy reguły Coraza używające t:jsDecode analizują uszkodzone dane wyjściowe z bajtem null. Ta niezgodność może obejść reguły WAF i narazić chronioną aplikację na ataki, takie jak cross-site scripting lub SQL injection. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, przed wersją 3.8.1, ma podatność w funkcji internal/cookies.ParseCookies, która inaczej obsługuje kontrolne znaki ASCII i nazwy ciasteczek składające się tylko z kontroli lub puste niż kilka backendowych parserów ciasteczek. Nieuwierzytelniony atakujący może spreparować nagłówek Cookie tak, aby Coraza indeksowała lub pomijała ciasteczko pod inną nazwą lub wartością niż backend, co powoduje, że reguły dotyczące REQUEST_COOKIES lub REQUEST_COOKIES_NAMES nie wykrywają danych widocznych dla aplikacji. Problem został naprawiony w wersji 3.8.1.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w pętli multipart w internal/bodyprocessors/multipart.go, która wykonuje defer temp.Close() dla każdej części pliku, przez co każdy deskryptor pliku tymczasowego pozostaje otwarty do czasu zakończenia całego żądania. Nieuwierzytelniony atakujący może przesłać treść multipart zawierającą wiele minimalnych części plików i wyczerpać tabelę deskryptorów plików procesu w limicie rozmiaru treści żądania, powodując błędy os.CreateTemp, odpowiedzi MULTIPART_STRICT_ERROR, zablokowanie legalnych uploadów i brak możliwości otwierania plików lub gniazd w całym procesie. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessResponse w internal/bodyprocessors/json.go, która przekazuje wartość ignoreJSONRecursionLimit równą -1 do readJSON, podczas gdy rekurencyjna ochrona zatrzymuje się tylko przy zerze. Atakujący sieciowy, który może spowodować, że aplikacja chroniona przez Coraza zwróci głęboko zagnieżdżony JSON, może sprawić, że przetwarzanie treści odpowiedzi będzie wykonywać pracę kwadratową, zużywając jeden rdzeń CPU przez sekundy na odpowiedź w ramach domyślnego ResponseBodyLimit. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji internetowych w Go, w wersjach od 3.0.0 do 3.8.0, ma podatność w ProcessURI w internal/corazawaf/transaction.go, która obsługuje błąd url.ParseRequestURI, zachowując surowy URI, ale pozostawiając QUERY_STRING, ARGS_GET, ARGS_GET_NAMES i część ARGS pochodzącą z GET puste. Nieuwierzytelniony atakujący może umieścić bajty kontrolne w URI przekazywanym bezpośrednio przez integracje takie jak coraza-spoa, coraza-proxy-wasm, niestandardowe hosty FFI lub hosty WASM, powodując, że Coraza pominie parametry zapytania, które integracja może nadal przetwarzać, co pozwala na ominięcie reguł dotyczących tych zmiennych. Problem został naprawiony w wersji 3.8.0.

OWASP Coraza WAF, biblioteka zapory aplikacji webowej kompatybilna z modsecurity, ulega awarii w wyniku niewłaściwego użycia `log.Fatalf`. Aplikacja przestaje działać po otrzymaniu spreparowanych żądań od atakujących, co prowadzi do natychmiastowego zablokowania po wystąpieniu błędu w `mime.ParseMediaType`.