PT-2026-44131
CVE-2026-44982
·
تاريخ النشر
2026-05-27
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات crowdsec الأقدم من 1.7.8
الوصف
يفشل مكون AppSec في قراءة نص طلب HTTP عندما لا تكون قيمة
Content-Length موجبة. يحدث هذا على وجه التحديد مع طلبات HTTP/1.1 التي تستخدم Transfer-Encoding: chunked وطلبات HTTP/2 المرسلة بدون رأس content-length. تكمن المشكلة في الدالة NewParsedRequestFromRequest() الموجودة في ملف pkg/appsec/request.go. ونظرًا لأن نص الطلب يُقرأ على أنه فارغ، فإن أي قاعدة WAF تستهدف REQUEST BODY أو BODY ARGS أو ARGS POST أو JSON أو XML تفشل في المطابقة. يمكن لمهاجم بعيد غير مصدق تجاوزه مسار فحص نص الطلب عن طريق تعديل رأس الإطار (framing header)، مما يسمح بإعادة توجيه الطلبات الضارة دون تشغيل إدخالات سجل WAF. لا تتأثر القواعد التي تعتمد على الرؤوس فقط أو على URI فقط.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.7.7.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾