CVE-2026-114100
CVE-2026-114100 · Coraza from 3.0.4 before 3.8.1 Request Body Inspection Bypass via Content-Type
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Coraza from 3.0.4 before 3.8.1 contains a request body inspection bypass because request-body processor selection compares the entire Content-Type value exactly, so URL-encoded bodies whose Content-Type carries a media-type parameter are never parsed. Unauthenticated attackers can send application/x-www-form-urlencoded; charset=UTF-8 to keep ARGS_POST and REQUEST_BODY empty, evading body rules while the backend still processes the payload.
CVSS 6.9 · Средний · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
coraza
- Версии
- ≥ 3.0.4, < 3.8.1: Затронуто (semver)
- 3.8.1: Не затронуто (semver)
Обновитесь до 3.8.1