CVE-2026-114099
CVE-2026-114099 · Coraza 3.0.0 before 3.8.1 WAF Bypass via JSON Key Collision
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Coraza from 3.0.0 before 3.8.1 has a JSON body processor that flattens nested properties into dot-separated ARGS_POST names without escaping literal dots, so distinct properties collide. Unauthenticated attackers can add a later dotted property such as account.role that overwrites a malicious nested value, hiding SQL injection payloads from OWASP CRS rules while backends still receive them.
CVSS 6.9 · Media · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
coraza
- Versiones
- ≥ 3.0.0, < 3.8.1: Afectada (semver)
- 3.8.1: No afectada (semver)
Actualiza a 3.8.1