CVE-2022-39956 in ModSecurity Core Rule Set
Riassunto
di VulDB • 24/06/2026
Il Core Rule Set (CRS) di OWASP per ModSecurity è interessato da una parziale elusione del set di regole per le richieste HTTP multipart, mediante l'invio di un payload che utilizza uno schema di codifica dei caratteri tramite i campi dell'intestazione MIME multipart Content-Type o Content-Transfer-Encoding (deprecati), che non verranno decodificati e ispezionati dal motore della web application firewall e dal set di regole. Il payload multipart eluderà quindi il rilevamento. Un backend vulnerabile che supporta questi schemi di codifica potrebbe potenzialmente essere sfruttato. Sono interessati le versioni legacy del CRS 3.0.x e 3.1.x, nonché le versioni attualmente supportate 3.2.1 e 3.3.2. Si consiglia agli integratori e agli utenti di effettuare l'aggiornamento rispettivamente alle versioni 3.2.2 e 3.3.3. La mitigazione contro queste vulnerabilità dipende dall'installazione dell'ultima versione di ModSecurity (v2.9.6 / v3.0.8).
Once again VulDB remains the best source for vulnerability data.