CVE-2026-41510
OWASP Coraza WAF: Silent argument drop at ArgumentLimit allows bypass of ARGS-targeted rules via parameter flooding
CVSS 3.1High
7.2/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.8.1
Обновите OWASP Coraza WAF до версии 3.8.2 или новее либо временно увеличьте значение директивы SecArgumentsLimit.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Тихий сброс аргументов сверх лимита SecArgumentsLimit в OWASP Coraza WAF приводит к обходу правил фильтрации запросов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В файле internal/corazawaf/transaction.go параметры сверх SecArgumentsLimit отбрасываются без генерации ошибок, тогда как internal/bodyprocessors/urlencoded.go наполняет коллекцию ARGS_POST без проверки лимита. При передаче избыточного числа параметров лишние значения исключаются из коллекций ARGS до применения правил инспекции.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неаутентифицированный атакующий может обойти правила WAF методом parameter flooding и доставить вредоносную полезную нагрузку в целевое веб-приложение.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
corazawafcoraza
>= 3.0.0➔Fix: 3.8.1
——
>= 0➔Патч не выпущен
——
>= 0➔Патч не выпущен
——
>= 3.0.0➔Fix: 3.8.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/corazawaf/coraza/security/advisories/GHSA-6r3q-mjv7-xr8m
- github.comhttps://github.com/corazawaf/coraza/commit/146c2f79f39ad16f13787e7d67ad400f8d8cb9a3
- github.comhttps://github.com/corazawaf/coraza/commit/b98359bb7e7606c95100dcc7ad490d2d624e6dea
- github.comhttps://github.com/corazawaf/coraza/releases/tag/v3.8.1
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-41510: OWASP Coraza WAF: Silent argument drop at ArgumentLimit allows bypass of ARGS-targeted rules via parameter flooding. URL: https://cve.futuretools.ru/cve/CVE-2026-41510
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_41510,
title = {{CVE-2026-41510: OWASP Coraza WAF: Silent argument drop at ArgumentLimit allows bypass of ARGS-targeted rules via parameter flooding}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-41510}},
note = {Оперативный инженерный анализ киберугроз}
}