CVE-2026-114101
CVE-2026-114101 · Coraza before 3.8.1 Multipart filename* Charset Handling FILES Rule Bypass
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Coraza before 3.8.1 extracts multipart upload filenames with Go's mime.ParseMediaType, which silently ignores RFC 5987 filename* parameters whose charset is not utf-8 or us-ascii. Unauthenticated attackers can send a decoy filename with filename*=iso-8859-1''shell.php, or filename* alone, so FILES-based rules never see the real name, letting dangerous uploads reach backends that honor filename*.
CVSS 6.3 · Media · EPSS 0,3% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
coraza
- Versiones
- ≥ 0, < 3.8.1: Afectada (semver)
- 3.8.1: No afectada (semver)
Actualiza a 3.8.1