- Yama var
- Son 7 gün
- CWE-20
CVE-2026-114101
Coraza'da multipart filename* karakter kümesi işlemesi FILES kuralının atlatılmasına yol açıyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Coraza 3.8.1 öncesi sürümler, multipart yükleme dosya adlarını Go'nun mime.ParseMediaType fonksiyonu ile çıkarır. Bu fonksiyon, karakter kümesi utf-8 veya us-ascii olmayan RFC 5987 filename* parametrelerini sessizce yok sayar. Kimlik doğrulaması yapılmadan saldırganlar, filename*=iso-8859-1''shell.php şeklinde yanıltıcı bir filename* parametresi ya da yalnızca filename* parametresi gönderebilir. Bu durumda FILES tabanlı kurallar gerçek dosya adını görmez ve tehlikeli dosyaların filename* parametresini destekleyen arka uç sistemlere ulaşmasına izin verilir.
Kaynaktaki açıklama (İngilizce)
Coraza before 3.8.1 extracts multipart upload filenames with Go's mime.ParseMediaType, which silently ignores RFC 5987 filename* parameters whose charset is not utf-8 or us-ascii. Unauthenticated attackers can send a decoy filename with filename*=iso-8859-1''shell.php, or filename* alone, so FILES-based rules never see the real name, letting dangerous uploads reach backends that honor filename*.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| corazawaf coraza | < 3.8.1 | 3.8.1 |
| 3.8.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.