CVE-2026-114101
CVE-2026-114101 · Coraza before 3.8.1 Multipart filename* Charset Handling FILES Rule Bypass
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Coraza before 3.8.1 extracts multipart upload filenames with Go's mime.ParseMediaType, which silently ignores RFC 5987 filename* parameters whose charset is not utf-8 or us-ascii. Unauthenticated attackers can send a decoy filename with filename*=iso-8859-1''shell.php, or filename* alone, so FILES-based rules never see the real name, letting dangerous uploads reach backends that honor filename*.
CVSS 6.3 · Moyenne · EPSS 0,3% · Code d’exploitation public · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
coraza
- Versions du logiciel
- ≥ 0, < 3.8.1: Concernée (semver)
- 3.8.1: Non concernée (semver)
Mettez à jour vers 3.8.1