CVE-2026-107825

OWASP Coraza WAF, golang əsaslı modsecurity ilə uyğun veb tətbiqi təhlükəsizlik divarı (WAF) kitabxanasıdır. 3.0.0 versiyasından 3.8.0 versiyasına qədər internal/corazawaf/transaction.go faylındakı ProcessURI funksiyası url.ParseRequestURI xətasını raw URI-ni saxlayaraq, lakin QUERY_STRING, ARGS_GET, ARGS_GET_NAMES və ARGS-ın GET-dən törəmiş hissələrini boş qoyaraq emal edir. Autentifikasiya olunmamış hücumçu coraza-spoa, coraza-proxy-wasm, xüsusi FFI hostları və ya WASM hostları kimi inteqrasiyalar vasitəsilə birbaşa ötürülən URI-yə idarəetmə baytları yerləşdirə bilər. Bu, Coraza-nın sorğu parametrlərini buraxmasına səbəb olur, halbuki aşağı axındakı (downstream) inteqrasiya həmin parametrləri hələ də emal edə bilər və bu da sözügedən dəyişənləri hədəf alan qaydalardan yan keçməyə imkan verir. Paketdə olan coraza/v3/http inteqrasiyası buna təsir etmir, çünki Go net/http Coraza-nı çağırmazdan əvvəl belə yanlış formalaşdırılmış sorğu hədəflərini rədd edir. Bu problem 3.8.0 versiyasında düzəldilmişdir.