CVE-2026-107826

Nome do Software Vulnerável e Versões Afetadas OWASP Coraza WAF versões 3.0.0 a 3.8.0

Descrição Um invasor não autenticado pode fazer com que o processo de hospedagem seja encerrado com um estouro de pilha (stack overflow) fatal e irrecuperável. Isso ocorre porque a função readJSON em internal/bodyprocessors/json.go pode interromper sua caminhada de achatamento limitada após atingir o SecArgumentsLimit ou o orçamento de bytes, chamando posteriormente gjson.Valid no corpo bruto completo. Se o corpo contiver valores superficiais seguidos por uma cauda JSON extremamente aninhada que não foi visitada durante a caminhada limitada, o gjson.Valid recursa sem um limite de profundidade, levando ao travamento. Este problema afeta tanto os caminhos JSON de ProcessRequest quanto de ProcessResponse e pode ser acionado mesmo quando a carga útil permanece dentro dos limites recomendados de tamanho de corpo e contagem de argumentos.

Recomendações Atualize o OWASP Coraza WAF para a versão 3.8.1.