CVE-2026-107833

Nome do Software Vulnerável e Versões Afetadas OWASP Coraza WAF versões 3.0.0 through 3.7.x

Description Existe um problema no processador de corpo de resposta JSON onde a função ProcessResponse() em internal/bodyprocessors/json.go não impõe um limite de recursão. Ela passa o valor -1 para a função readJSON(), enquanto a guarda recursiva em readItems() só é acionada quando o valor é igual a zero. Consequentemente, a contagem regressiva a partir de -1 nunca atinge zero, tornando a guarda ineficaz.

Um atacante de rede pode explorar isso fazendo com que uma aplicação retorne uma resposta JSON profundamente aninhada. Isso resulta em um trabalho de CPU quadrático, onde o custo de processamento cresce em relação à profundidade do aninhamento. Por exemplo, uma resposta de 512 KiB com aproximadamente 87.000 níveis de aninhamento pode ocupar um único núcleo de CPU por cerca de 12 segundos. Esta exploração requer que a inspeção do corpo da resposta esteja habilitada e que o backend retorne conteúdo JSON.

Recommendations Atualize para a versão 3.8.0. Como mitigação temporária, desabilite a inspeção do corpo da resposta para conteúdo JSON até que a atualização seja aplicada.