- Yama var
- Son 7 gün
- CWE-20
CVE-2026-114100
Coraza WAF'ta Content-Type parametresi nedeniyle istek gövdesi denetimi atlatılabiliyor
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Coraza sürüm 3.0.4 ile 3.8.1 öncesi sürümlerde, istek gövdesi işleyicisinin seçimi Content-Type değerinin tamamını tam eşleşme ile karşılaştırdığı için istek gövdesi denetimi atlatılabilmektedir. Bu nedenle, Content-Type değerinde medya türü parametresi bulunan URL-kodlu gövdeler hiç ayrıştırılmamaktadır. Kimlik doğrulaması yapmayan saldırganlar, ARGS_POST ve REQUEST_BODY değişkenlerini boş tutmak için application/x-www-form-urlencoded; charset=UTF-8 değerini gönderebilmekte, böylece gövde kurallarından kaçarken arka uç sistem yükü yine de işlemektedir.
Kaynaktaki açıklama (İngilizce)
Coraza from 3.0.4 before 3.8.1 contains a request body inspection bypass because request-body processor selection compares the entire Content-Type value exactly, so URL-encoded bodies whose Content-Type carries a media-type parameter are never parsed. Unauthenticated attackers can send application/x-www-form-urlencoded; charset=UTF-8 to keep ARGS_POST and REQUEST_BODY empty, evading body rules while the backend still processes the payload.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| corazawaf coraza | ≥ 3.0.4, < 3.8.1 | 3.8.1 |
| 3.8.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.