CVE-2026-52747
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
ModSecurity przed wersją 3.0.16 zawiera podatność w parserze multipart/form-data, która powoduje ciche usuwanie znaków nowej linii z wartości pól formularza niebędących plikami. Dzieje się tak, ponieważ kod nadpisuje zarezerwowane bajty zamiast dołączać bieżący bufor, co prowadzi do różnic w parsowaniu między ModSecurity a aplikacjami backendowymi.
Ocena ryzyka
Ryzyko polega na tym, że reguły WAF sprawdzające ARGS lub ARGS_POST mogą nie wykryć złośliwych ładunków, których niebezpieczna składnia zależy od znaku nowej linii. Atakujący może wykorzystać tę lukę do ominięcia zabezpieczeń i przeprowadzenia ataków, takich jak wstrzykiwanie kodu.
Rekomendacja
Należy niezwłocznie zaktualizować ModSecurity do wersji 3.0.16 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w ModSecurity
Zobacz wszystkie- CVE-2026-42268Wysokie
ModSecurity to silnik zapory aplikacji webowych, który w wersjach od 3.0.0 do przed 3.0.15 zawiera nieobsługiwany wyjątek spowodowany niedoborem liczby całkowitej bez znaku. Problem występuje, gdy administrator używa reguły @verifySSN, @verifyCPF lub @verifySVNR.
- CVE-2026-52761Średnie
Podatność w ModSecurity od wersji 3.0.0 do 3.0.15 dotyczy transformacji t:utf8toUnicode na architekturze i386. Błąd w kodzie powoduje, że funkcja snprintf używa rozmiaru wskaźnika zamiast długości bufora Unicode, co prowadzi do nieprawidłowego wyniku i umożliwia ominięcie reguł WAF.
- CVE-2023-38285Wysokie
ModSecurity w wersji 3.x przed 3.0.10 zawiera problem z nieefektywną złożonością algorytmiczną.
Oryginalny opis (angielski, źródło NVD)
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Prior to 3.0.16, the multipart/form-data request body parser in libmodsecurity silently removes embedded line breaks from non-file form-field values before exporting them to ARGS and ARGS_POST because src/request_body_processor/multipart.cc overwrites reserved bytes in m_reserve instead of appending the current buffer. This creates a parser differential between ModSecurity and backend applications that preserve line breaks in form fields, allowing rules that inspect ARGS or ARGS_POST to miss payloads whose dangerous syntax depends on a line break. This issue is fixed in version 3.0.16.