CVE-2026-42268
WysokieStreszczenie
ModSecurity to silnik zapory aplikacji webowych, który w wersjach od 3.0.0 do przed 3.0.15 zawiera nieobsługiwany wyjątek spowodowany niedoborem liczby całkowitej bez znaku. Problem występuje, gdy administrator używa reguły @verifySSN, @verifyCPF lub @verifySVNR.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieprzewidzianych błędów w działaniu zapory, co może skutkować obniżeniem poziomu bezpieczeństwa aplikacji webowych.
Rekomendacja
Zaleca się aktualizację ModSecurity do wersji 3.0.15 lub nowszej, aby usunąć tę podatność.
Inne podatności w ModSecurity
Zobacz wszystkie- CVE-2026-52761Średnie
Podatność w ModSecurity od wersji 3.0.0 do 3.0.15 dotyczy transformacji t:utf8toUnicode na architekturze i386. Błąd w kodzie powoduje, że funkcja snprintf używa rozmiaru wskaźnika zamiast długości bufora Unicode, co prowadzi do nieprawidłowego wyniku i umożliwia ominięcie reguł WAF.
- CVE-2026-52747Wysokie
ModSecurity przed wersją 3.0.16 zawiera podatność w parserze multipart/form-data, która powoduje ciche usuwanie znaków nowej linii z wartości pól formularza niebędących plikami. Dzieje się tak, ponieważ kod nadpisuje zarezerwowane bajty zamiast dołączać bieżący bufor, co prowadzi do różnic w parsowaniu między ModSecurity a aplikacjami backendowymi.
- CVE-2023-38285Wysokie
ModSecurity w wersji 3.x przed 3.0.10 zawiera problem z nieefektywną złożonością algorytmiczną.
Oryginalny opis (angielski, źródło NVD)
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. From 3.0.0 to before 3.0.15, there is an unhandled exception (std::out_of_range) caused by unsigned integer underflow in libmodsecurity3 if the user (administrator) uses a rule any of @verifySSN, @verifyCPF, or @verifySVNR. This vulnerability is fixed in 3.0.15.