CVE-2026-104269
Açıklama
ModSecurity; Apache, IIS ve Nginx için açık kaynaklı, platformlar arası bir web uygulaması güvenlik duvarı (WAF) motorudur. 3.0.0 ile 3.0.17 sürümleri arasında, ModSecurity'nin multipart ayrıştırıcısı, yaygın Go, Python, Node.js ve Java uygulama ayrıştırıcıları tarafından kullanılan RFC 2231 filename* parametre önceliğini uygulamaz. Bir Content-Disposition başlığı, ModSecurity için zararsız bir filename parametresi ve arka ucun tercih ettiği farklı bir kodlanmış filename* değeri sağlayabilir; bu durum, MULTIPART_FILENAME kurallarının ve uygulamanın farklı isimler üzerinden güvenlik kararları vermesine neden olur. Depolama, uzantı kontrolleri veya içerik türü çıkarımı için arka uç tarafından seçilen ismi kullanan uygulamalar, bu nedenle WAF denetimini atlayan bir dosya adı alabilir. PHP'nin yerel multipart ayrıştırıcısı bu tutarsızlıktan etkilenmemektedir. Bu sorun 3.0.17 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owasp-modsecurity ModSecurity | >= 3.0.0, < 3.0.17 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.