CVE-2026-61813 in ModSecurity
Résumé
par VulDB • 05/11/2026
ModSecurity est un moteur de pare-feu d'application Web (WAF) open source et multiplateforme pour Apache, IIS et Nginx. Avant les versions 2.9.15 et 3.0.17, la fonction HttpsClient::download dans src/utils/https_client.cc définit CURLOPT_SSL_VERIFYHOST de libcurl sur 1 au lieu de la valeur stricte 2L. Dans des conditions d'attaquant-intermédiaire (adversary-in-the-middle) et d'interception TLS, ce paramètre non strict peut affaiblir la validation de l'identité du pair TLS et augmenter le risque d'accepter un certificat pour un hôte non prévu. L'exploitation de bout en bout est non triviale dans les environnements typiques. Ce problème est corrigé dans les versions 2.9.15 et 3.0.17.
If you want to get best quality of vulnerability data, you may have to visit VulDB.