CVE-2026-107826
Təsvir
OWASP Coraza WAF, golang modsecurity ilə uyğun veb tətbiqi firewall kitabxanasıdır. 3.0.0 versiyasından 3.8.1 versiyasına qədər internal/bodyprocessors/json.go faylındakı readJSON funksiyası, SecArgumentsLimit və ya bayt büdcəsinə çatdıqdan sonra məhdudlaşdırılmış yastalama gəzintisini dayandıra və daha sonra tam xam gövdə üzərində gjson.Valid funksiyasını çağıra bilər. Autentifikasiya olunmamış hücumçu, məhdudlaşdırılmış gəzinti tərəfindən ziyarət edilməmiş, olduqca dərindən yuvalanmış JSON sonluğunu izləyən səthi dəyərlər göndərə bilər ki, bu da gjson.Valid funksiyasının dərinlik məhdudiyyəti olmadan rekursiv şəkildə işləməsinə və host prosesinin bərpa olunmayan kritik stek daşması (stack overflow) ilə dayanmasına səbəb olar. ProcessRequest və ProcessResponse JSON yolları təsirlənən readJSON validasiya axınını paylaşır və payload tövsiyə olunan gövdə ölçüsü və arqument sayı limitləri daxilində qala bilər. Bu problem 3.8.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/corazawaf/coraza/v33.8.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/corazawaf/coraza/v3Go | 3.0.0 ≤ v < 3.8.1 | 3.8.1 |
| github.com/corazawaf/corazaGo | Aralıq göstərilməyib | — |
| github.com/corazawaf/coraza/v2Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.