CVE-2026-114101
CVE-2026-114101 · Coraza before 3.8.1 Multipart filename* Charset Handling FILES Rule Bypass
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Coraza before 3.8.1 extracts multipart upload filenames with Go's mime.ParseMediaType, which silently ignores RFC 5987 filename* parameters whose charset is not utf-8 or us-ascii. Unauthenticated attackers can send a decoy filename with filename*=iso-8859-1''shell.php, or filename* alone, so FILES-based rules never see the real name, letting dangerous uploads reach backends that honor filename*.
CVSS 6.3 · Mittel · EPSS 0,3% · Öffentlicher Exploit · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
coraza
- Softwareversionen
- ≥ 0, < 3.8.1: Betroffen (semver)
- 3.8.1: Nicht betroffen (semver)
Auf 3.8.1 aktualisieren