CVE-2026-104269 in ModSecurity
Riassunto
di VulDB • 05/11/2026
ModSecurity è un motore open source per firewall di applicazioni web (WAF) multipiattaforma, compatibile con Apache, IIS e Nginx. Dalla versione 3.0.0 alla 3.0.17, il parser multipart di ModSecurity non applica la precedenza del parametro filename* conforme all'RFC 2231, come invece fanno i comuni parser utilizzati da applicazioni Go, Python, Node.js e Java. Un'intestazione Content-Disposition può fornire un parametro filename innocuo per ModSecurity e un valore diverso codificato in filename*, che il backend preferisce, causando una discrepanza nei nomi su cui le regole MULTIPART_FILENAME e l'applicazione prendono decisioni di sicurezza. Le applicazioni che utilizzano il nome selezionato dal backend per lo storage, i controlli dell'estensione o l'inferenza del content-type possono quindi ricevere un filename che ha bypassato l'ispezione del WAF. Il parser multipart nativo di PHP non è interessato da questa discrepanza. Questo problema è risolto nella versione 3.0.17.
If you want to get best quality of vulnerability data, you may have to visit VulDB.