CVE-2026-107835
Açıklama
OWASP Coraza WAF, golang tabanlı modsecurity uyumlu bir web uygulaması güvenlik duvarı kütüphanesidir. 3.8.1 sürümünden önce, internal/cookies/cookies.go dosyasındaki internal/cookies.ParseCookies, sınır ASCII kontrol karakterlerini ve yalnızca kontrolden oluşan veya boş çerez isimlerini birkaç arka uç çerez ayrıştırıcısından farklı şekilde işlemektedir. Kimliği doğrulanmamış bir saldırgan, Coraza'nın bir çerezi arka uç uygulamasından farklı bir isim veya değer altında indekslemesini veya düşürmesini sağlayacak şekilde bir Cookie başlığı oluşturabilir; bu durum, REQUEST_COOKIES veya REQUEST_COOKIES_NAMES hedefleyen kuralların uygulama tarafından görülebilen saldırgan verilerini kaçırmasına neden olur. İstismar durumu, arka uç ayrıştırıcıya ve etkilenen kural kapsamına bağlıdır; tutarsız arka uç davranışına sahip iç kontrol karakterleri bu bildirimin düzeltme kapsamı dışındadır. Bu sorun 3.8.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/corazawaf/coraza/v33.8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/corazawaf/coraza/v3Go | v < 3.8.1 | 3.8.1 |
| github.com/corazawaf/corazaGo | Aralık belirtilmemiş | — |
| github.com/corazawaf/coraza/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.