CVE-2026-73856
Təsvir
ModSecurity Apache, IIS və Nginx üçün açıq mənbəli, çarpayılardan asılı olmayan veb tətbiqi təhlükəsizlik divarı (WAF) mühərrikidir. 3.0.0 versiyasından 3.0.17 versiyasına qədər src/transaction.cc faylı cavabın Content-Type dəyərini SecResponseBodyMimeType yazıları ilə böyük-kiçik hərflərə həssas şəkildə müqayisə edir. Konfiqurasiya edilmiş kiçik hərfli tipə semantik cəhətdən ekvivalent olan qarışıq registrlidən ibarət cavab media tipi konfiqurasiya edilməmiş kimi qəbul edilə bilər ki, bu da ModSecurity-nin RESPONSE_BODY yoxlamasını ötürməsinə səbəb olur. Beləliklə, autentifikasiya olunmamış sorğu göndərən şəxs, fazanın 4 qaydası tərəfindən bloklanmalı olan cavab məzmununu, o cümlədən həssas xəta və ya sazlama (debug) məlumatlarını ala bilər. Bu problem 3.0.17 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owasp-modsecurity ModSecurity | >= 3.0.0, < 3.0.17 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.