CVE-2026-52747
Təsvir
ModSecurity Apache, IIS və Nginx üçün açıq mənbəli, çarpayılardan asılı olmayan veb tətbiqi təhlükəsizlik divarı (WAF) mühərrikidir. 3.0.16 versiyasından əvvəl, libmodsecurity-dəki multipart/form-data sorğu gövdəsi analizçisi, fayl olmayan forma sahəsi dəyərlərindəki daxili sətir sonlarını onları ARGS və ARGS_POST-a ixrac etməzdən əvvəl səssizcə silir, çünki src/request_body_processor/multipart.cc cari buferi əlavə etmək əvəzinə m_reserve-dəki rezerv edilmiş baytları yenidən yazır. Bu, ModSecurity ilə forma sahələrində sətir sonlarını saxlayan arxa plan tətbiqləri arasında analizçi fərqi yaradır ki, bu da ARGS və ya ARGS_POST-u yoxlayan qaydaların, təhlükəli sintaksisi sətir sonundan asılı olan yükləmələri (payloads) qaçırmasına şərait yaradır. Bu problem 3.0.16 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- owasp modsecurity3.0.16 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp modsecurity | v < 3.0.16 | 3.0.16 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.