CVE-2026-107835 in Coraza
Zusammenfassung
von VulDB • 09.10.2026
OWASP Coraza WAF ist eine mit ModSecurity kompatible Web Application Firewall-Bibliothek in Go (Golang). Vor Version 3.8.1 verarbeitet `internal/cookies.ParseCookies` in `internal/cookies/cookies.go` ASCII-Steuerzeichen an den Grenzen sowie Steuerzeichen-basierte oder leere Cookie-Namen anders als mehrere Backend-Cookie-Parser. Ein nicht authentifizierter Angreifer kann einen Cookie-Header so gestalten, dass Coraza ein Cookie unter einem anderen Namen oder Wert indiziert bzw. verwirft im Vergleich zur Anwendung im Backend, wodurch Regeln, die auf `REQUEST_COOKIES` oder `REQUEST_COOKIES_NAMES` abzielen, anwendungssichtbare Daten des Angreifers nicht erkennen. Die Ausnutzung (Exploitation) hängt vom Backend-Parser und dem Umfang der betroffenen Regel ab; interne Steuerzeichen mit inkonsistentem Verhalten im Backend liegen außerhalb des durch diese Advisory behobenen Problems. Dieses Problem wurde in Version 3.8.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.