CVE-2026-41510

OWASP Coraza WAF, golang əsaslı ModSecurity ilə uyğun veb tətbiqi təhlükəsizlik divarı (WAF) kitabxanasıdır. Versiya 3.0.0-dan 3.8.1-ə qədər olan versiyalarda, Coraza `internal/corazawaf/transaction.go` faylında `SecArgumentsLimit`-dən sonrakı arqumentləri səssiz şəkildə silir, lakin `internal/bodyprocessors/urlencoded.go` limiti tətbiq etmədən ARGS_POST yazır. Bu çatışmazlıq, autentifikasiya olunmamış hücumçunun `SecArgumentsLimit`-dən daha çox arqument göndərdiyi və ya konfiqurasiya edilmiş arqument və düzləşdirmə büdcələrini aşan gövdələr təqdim etdiyi zaman aktivləşir. Autentifikasiya olunmamış hücumçu sorğuları elə arqumentlərlə doldura bilər ki, artıq dəyərlər təhlükəsizlik qaydaları tərəfindən yoxlanılmazdan əvvəl ARGS, ARGS_GET, ARGS_NAMES, ARGS_GET_NAMES, ARGS_POST və ya ARGS_PATH siyahılarından səssiz şəkildə çıxarılsın; həmçinin təsirlənmiş urlencoded və JSON emalı həddindən artıq yaddaş istehlak edə bilər. Bu çıxarma prosesi aşağı axındakı tətbiqi qoruyan WAF qaydalarının yan keçilməsinə səbəb ola bilər, məhdudiyyətsiz və ya gücləndirilmiş arqument emalı isə yaddaş istehlakına və xidmətin keyfiyyətinin aşağı düşməsinə gətirib çıxara bilər. Bu problem 3.8.1 versiyasında düzəldilmişdir.