- Yama var
- Son 7 gün
- CWE-20
CVE-2026-114099
Coraza WAF'ında JSON anahtar çakışması nedeniyle WAF atlatılabilir
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Coraza 3.0.0 sürümünden 3.8.1 sürümüne kadar olan sürümlerde bulunan JSON gövde işleyicisi, iç içe geçmiş özellikleri nokta ile ayrılmış ARGS_POST adlarına düzleştirirken noktaları kaçışlamadığı için farklı özellikler birbiriyle çakışmaktadır. Kimlik doğrulaması yapılmamış saldırganlar, account.role gibi sonradan gelen noktalı bir özellik ekleyerek kötü amaçlı iç içe değerin üzerine yazabilmekte ve böylece SQL enjeksiyonu yüklerini OWASP CRS kurallarından gizleyebilmekte, buna karşın arka uç sistemler bu yükleri yine de almaktadır.
Kaynaktaki açıklama (İngilizce)
Coraza from 3.0.0 before 3.8.1 has a JSON body processor that flattens nested properties into dot-separated ARGS_POST names without escaping literal dots, so distinct properties collide. Unauthenticated attackers can add a later dotted property such as account.role that overwrites a malicious nested value, hiding SQL injection payloads from OWASP CRS rules while backends still receive them.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| corazawaf coraza | ≥ 3.0.0, < 3.8.1 | 3.8.1 |
| 3.8.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.