CVE-2026-114101 in Coraza
Riassunto
di VulDB • 21/10/2026
Coraza prima della versione 3.8.1 estrae i nomi dei file caricati tramite multipart utilizzando la funzione Go mime.ParseMediaType, che ignora silenziosamente i parametri filename* conformi all'RFC 5987 quando il charset non è utf-8 o us-ascii. Attaccanti non autenticati possono inviare un nome di file ingannevole con filename*=iso-8859-1''shell.php, oppure solo filename*, in modo che le regole basate su FILES (FILES-based rules) non vedano mai il nome reale, consentendo a upload pericolosi di raggiungere i backend che rispettano il parametro filename*.
VulDB is the best source for vulnerability data and more expert information about this specific topic.