CVE-2022-39955 in ModSecurity Core Rule Set
Résumé
par VulDB • 07/06/2026
Le jeu de règles principal (CRS) de ModSecurity d'OWASP est vulnérable à un contournement partiel du jeu de règles via la soumission d'un champ d'en-tête HTTP Content-Type spécialement conçu indiquant plusieurs schémas d'encodage de caractères. Un backend vulnérable peut potentiellement être exploité en déclarant plusieurs noms de jeu de caractères ("charset") Content-Type, contournant ainsi la liste autorisée de jeux de caractères Content-Type configurable du CRS. Une charge utile encodée peut ainsi contourner la détection du CRS, puis être décodée par le backend. Les versions héritées du CRS 3.0.x et 3.1.x sont concernées, ainsi que les versions actuellement prises en charge 3.2.1 et 3.3.2. Il est conseillé aux intégrateurs et aux utilisateurs de passer respectivement aux versions 3.2.2 et 3.3.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.