CVE-2026-107835

OWASP Coraza WAF, golang əsaslı modsecurity ilə uyğun veb tətbiqi təhlükəsizlik divarı (WAF) kitabxanasıdır. Versiya 3.8.1-dən əvvəl, internal/cookies/cookies.go faylındakı internal/cookies.ParseCookies funksiyası sərhəd ASCII idarəetmə simvollarını və yalnız idarəetmə simvollarından ibarət olan və ya boş cookie adlarını bir neçə backend cookie analizatorundan fərqli şəkildə emal edir. Autentifikasiya olunmamış hücumçu elə bir Cookie başlığı hazırlaya bilər ki, Coraza cookie-ni backend tətbiqindən fərqli ad və ya dəyər altında indeksləsin və ya silsin; bu isə REQUEST_COOKIES və ya REQUEST_COOKIES_NAMES hədəfləri olan qaydaların tətbiqdə görünən hücumçu məlumatlarını aşkarlamasının qarşısını alır. İstismar prosesi backend analizatorundan və təsirə məruz qalan qayda əhatəsindən asılıdır; həmçinin, backend davranışında uyğunsuzluq olan daxili idarəetmə simvolları bu bildirişin həll sxeminə daxil deyil. Bu problem 3.8.1 versiyasında düzəldilmişdir.