CVE-2026-104774
Açıklama
OWASP Coraza WAF, golang tabanlı modsecurity uyumlu bir web uygulaması güvenlik duvarı kütüphanesidir. 3.0.0 ile 3.8.0 versiyonları arasında, internal/transformations/js_decode.go:64-70 konumundaki t:jsDecode dönüşümü, ters eğik çizgiyi oktal tampona dahil ederek ParseInt fonksiyonunun hata vermesine ve boş bir bayt (null byte) döndürmesine neden olur. Bu açık, bir kuralın t:jsDecode'a dayandığı ve isteğin JavaScript oktal kaçış dizileri içerdiği durumlarda tetiklenir. Kimliği doğrulanmamış bir saldırgan, saldırı sözdizimini JavaScript oktal kaçışlarıyla kodlayarak arka ucun hedeflenen baytları çözmesini sağlarken, t:jsDecode kullanan Coraza kurallarının bozulmuş boş bayt çıktısını incelemesine yol açabilir. Bu uyuşmazlık, WAF kurallarının atlatılmasına neden olabilir ve korunan uygulamayı siteler arası betik çalıştırma (XSS) veya SQL enjeksiyonu gibi saldırılara maruz bırakabilir. Bu sorun 3.8.0 versiyonunda düzeltilmiştir.
Nasıl düzeltilir
- github.com/corazawaf/coraza/v33.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/corazawaf/coraza/v3Go | 3.0.0 ≤ v < 3.8.0 | 3.8.0 |
| github.com/corazawaf/corazaGo | Aralık belirtilmemiş | — |
| github.com/corazawaf/coraza/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.