Vulnérabilité dans github.com/corazawaf/coraza/v3 (CVE-2026-104774)
Résumé
Vulnérabilité dans github.com/corazawaf/coraza/v3 (CVE-2026-104774). Risque d'opérations non autorisées ou de divulgation. Exploitable via strconv.ParseInt. Atténuation : mise à jour vers 3.8.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The t:jsDecode transformation in Coraza WAF contains an off-by-one error when parsing octal escape sequences. A backslash character was incorrectly included in the octal number buffer, causing strconv.ParseInt to fail for every octal escape sequence and return a null byte instead of the decoded value that would normally be returned. This will cause all JS-escaped payloads to be corrupted, thus leading to the bypassing of these WAF rules when WAF rules that rely on jsDecode for normalization are enabled.
Therefore, a real-world attack scenario: an attacker could use JavaScript octal escape sequences (\ooo) to encode attack syntax. Although the WAF cannot decode these sequences correctly, the target backend (such as a browser or application) can parse them as expected.
Details
Vulnerable code: internal/transformations/js_decode.go:64-70.
case (i+1 < inputLen) && isodigit(input[i+1]):
/* \OOO (only one byte, \000 - \377) */
buf := make([]byte, 3)
j := 0
for (i+1+j < inputLen) && (j < 3) {
buf[j] = input[i+j] // this should be `input[i+1+j]`
j++
if !isodigit(input[i+j]) {
break
}
}
This is because, when entering octal mode, the loop variable i points to the backslash character \. Before entering octal mode, the pointer does not cross the backslash (unlike in the \u and \x cases, where i+N is used as the index). Line 65 uses input[i+j], so when j=0, the back…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-104774 a été découverte dans github.com/corazawaf/coraza/v3.
Des attaquants peuvent cibler un point d'entrée spécifique comme strconv.ParseInt à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.8/10.
Action : mettez à jour github.com/corazawaf/coraza/v3 vers 3.8.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/corazawaf/coraza/v3 CVE-2026-104774 » sur le site de l'éditeur.
CVE-2026-104774 (github.com/corazawaf/coraza/v3) — CWE-172 / CVSS v3 5.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : strconv.ParseInt / jsDecode / SecRuleEngine / SecRequestBodyAccess
Correctif : 3.8.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-172) affecte github.com/corazawaf/coraza/v3. Les attaquants atteignent le code vulnérable via strconv.ParseInt sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/corazawaf/coraza/v3. Surface d'attaque : strconv.ParseInt / jsDecode / SecRuleEngine / SecRequestBodyAccess.
Gravité : Moyenne (CVSS 5.8/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 3.8.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/corazawaf/coraza/v3' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/corazawaf/coraza/v3を grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/corazawaf/coraza/v3 to 3.8.0ステージング環境で 3.8.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。