CVE-2026-44982

WysokieCVSS 7.2

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność w CrowdSec od wersji 1.5.0 do 1.7.8 powoduje, że żądania HTTP/1.1 z kodowaniem Transfer-Encoding: chunked oraz żądania HTTP/2 bez nagłówka Content-Length są przetwarzane z pustym buforem ciała żądania. W rezultacie reguły WAF dotyczące REQUEST_BODY, BODY_ARGS, ARGS_POST, JSON lub XML są pomijane.

Ocena ryzyka

Organizacja narażona jest na obejście reguł WAF dla żądań z danymi przesyłanymi w ciele, co może umożliwić atakującym przesłanie złośliwych danych bez wykrycia przez system ochrony.

Rekomendacja

Należy niezwłocznie zaktualizować CrowdSec do wersji 1.7.8 lub nowszej, która zawiera poprawkę usuwającą tę podatność.

Inne podatności w CrowdSec

CVE-2026-44981Wysokie
CrowdSec w wersjach od 1.7.0 do 1.7.8 zawiera podatność w routerze LAPI, który globalnie używa gin-contrib/gzip z DefaultDecompressHandle. Powoduje to dekompresję nieskompresowanych żądań JSON bez ograniczenia maksymalnego rozmiaru, co prowadzi do nadmiernej alokacji pamięci i uniemożliwia dostęp do LAPI.

Oryginalny opis (angielski, źródło NVD)

CrowdSec offers crowdsourced protection against malicious IPs. From 1.5.0 until 1.7.8, pkg/appsec/request.go NewParsedRequestFromRequest allocated a request body buffer from max(r.ContentLength, 0), so HTTP/1.1 requests using Transfer-Encoding: chunked and HTTP/2 requests without a content-length header produced an empty body and caused WAF rules targeting REQUEST_BODY, BODY_ARGS, ARGS_POST, JSON, or XML to be skipped. This issue is fixed in version 1.7.8.