Podatności Coraza

Coraza przed wersją 3.8.1 wyodrębnia nazwy plików z uploadów multipart za pomocą Go mime.ParseMediaType, który po cichu ignoruje parametry filename* RFC 5987 o zestawie znaków innym niż utf-8 lub us-ascii. Nieuwierzytelniony atakujący może wysłać fałszywą nazwę pliku, przez co reguły oparte na FILES nie widzą prawdziwej nazwy, a niebezpieczne uploady trafiają do backendów honorujących filename*.

Coraza od wersji 3.0.4 przed 3.8.1 zawiera obejście inspekcji treści żądania, ponieważ wybór procesora treści porównuje całą wartość Content-Type dokładnie, więc ciała URL-encoded z parametrem media-type nie są parsowane. Nieuwierzytelniony atakujący może wysłać application/x-www-form-urlencoded; charset=UTF-8, aby utrzymać puste ARGS_POST i REQUEST_BODY, omijając reguły treści, podczas gdy backend nadal przetwarza ładunek.

Coraza od wersji 3.0.0 przed 3.8.1 ma procesor treści JSON, który spłaszcza zagnieżdżone właściwości do nazw ARGS_POST rozdzielonych kropkami bez ucieczki literalnych kropek, przez co różne właściwości kolidują. Nieuwierzytelniony atakujący może dodać późniejszą właściwość z kropką, taką jak account.role, która nadpisuje złośliwą wartość zagnieżdżoną, ukrywając ładunki SQL injection przed regułami OWASP CRS, podczas gdy backend nadal je otrzymuje.