CVE-2026-107833 in Coraza
Zusammenfassung
von VulDB • 09.10.2026
OWASP Coraza WAF ist eine mit ModSecurity kompatible Web Application Firewall-Bibliothek in Go (Golang). Von Version 3.0.0 bis 3.8.0 übergibt die Funktion `ProcessResponse` in `internal/bodyprocessors/json.go` den Wert `-1` für `ignoreJSONRecursionLimit` an `readJSON`, während der rekursive Schutz nur bei Null stoppt. Ein Netzwerkangreifer, der eine von Coraza geschützte Anwendung dazu bringen kann, tief verschachteltes JSON zurückzugeben, kann dafür sorgen, dass die Verarbeitung des Antwortkörpers quadratische Rechenarbeit leistet und dabei pro Antwort innerhalb des standardmäßigen `ResponseBodyLimit` einen CPU-Kern für Sekunden beansprucht. Die Verarbeitung der Anfrage-JSON ist von diesem spezifischen Pfad nicht betroffen, da sie das konfigurierte Anforderungs-Rekursionslimit verwendet, und die Ausnutzung erfordert eine aktivierte Inspektion des Antwortkörpers. Dieses Problem wurde in Version 3.8.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.