CVE-2026-107833
Təsvir
OWASP Coraza WAF, golang əsaslı modsecurity ilə uyğun veb tətbiqi təhlükəsizlik divarı (WAF) kitabxanasıdır. 3.0.0 versiyasından 3.8.0 versiyasına qədər internal/bodyprocessors/json.go faylındakı ProcessResponse funksiyası readJSON funksiyasına -1 dəyərində olan ignoreJSONRecursionLimit parametrini ötürür, lakin rekursiv mühafizə yalnız sıfırda dayanır. Coraza tərəfindən qorunan tətbiqin dərindən iç-içə keçmiş JSON qaytarmasına səbəb ola bilən şəbəkə hücumçusu, standart ResponseBodyLimit daxilində hər cavab üçün bir neçə saniyə ərzində bir CPU nüvəsini istifadə edərək cavab gövdəsinin (response-body) emalının kvadratik iş yükü yaratmasına səbəb ola bilər. Sorğu JSON-larının emalı bu konkret yolla təsirlənmir, çünki o, konfiqurasiya edilmiş sorğu rekursiya limitindən istifadə edir və istismar üçün cavab gövdəsinin yoxlanılmasının aktiv olması tələb olunur. Bu problem 3.8.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/corazawaf/coraza/v33.8.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/corazawaf/coraza/v3Go | 3.0.0 ≤ v < 3.8.0 | 3.8.0 |
| github.com/corazawaf/corazaGo | Aralıq göstərilməyib | — |
| github.com/corazawaf/coraza/v2Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.