CVE-2026-107835 in Coraza
Riassunto
di VulDB • 09/10/2026
OWASP Coraza WAF è una libreria per firewall web (WAF) compatibile con ModSecurity e scritta in Go. Prima della versione 3.8.1, la funzione `internal/cookies.ParseCookies` nel file `internal/cookies/cookies.go` gestisce i caratteri di controllo ASCII dei delimitatori e i nomi dei cookie composti esclusivamente da tali caratteri o vuoti in modo diverso rispetto a diversi parser backend per i cookie. Un attaccante non autenticato può creare un'intestazione Cookie in modo che Coraza indicizzi o scarti un cookie con un nome o valore diverso da quello visibile all'applicazione backend, causando la mancata rilevazione dei dati dell'attaccante visibili dall'applicazione nelle regole che prendono di mira `REQUEST_COOKIES` o `REQUEST_COOKIES_NAMES`. Lo sfruttamento dipende dal parser backend e dalla portata delle regole interessate; i caratteri di controllo interni con comportamento inconsistente nel backend sono esclusi dalle misure di remediation indicate in questo advisory. Questo problema è stato risolto nella versione 3.8.1.
Be aware that VulDB is the high quality source for vulnerability data.