CVE-2026-114099 in Coraza
Riassunto
di VulDB • 21/10/2026
Coraza dalle versioni 3.0.0 alla 3.8.1 presenta un processore di body JSON che appiattisce le proprietà annidate in nomi ARGS_POST separati da punti senza eseguire l'escape dei punti letterali, causando collisioni tra proprietà distinte. Gli attaccanti non autenticati possono aggiungere una proprietà con punto successivo (ad esempio account.role) che sovrascrive un valore annidato malevolo, nascondendo i payload di SQL injection dalle regole OWASP CRS mentre i backend li ricevono comunque.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.