CVE-2026-107834

Nome do Software Vulnerável e Versões Afetadas OWASP Coraza WAF versões 3.0.0 through 3.7.0

Description Um invasor não autenticado pode causar a negação de serviço ao enviar um corpo de requisição multipart contendo um grande número de partes de arquivos mínimos. O problema ocorre porque o processador multipart em internal/bodyprocessors/multipart.go utiliza defer temp.Close() dentro de um loop. Em Go, funções adiadas (deferred) são executadas quando a função envolvente retorna, e não ao final da iteração do loop, fazendo com que cada descritor de arquivo temporário permaneça aberto até que ProcessRequest() seja encerrado.

Este comportamento pode esgotar a tabela de descritores de arquivos do processo (atingindo EMFILE) mesmo dentro do limite de tamanho de corpo de requisição padrão. Por exemplo, aproximadamente 65.000 partes mínimas podem caber em 6,8MB de dados, o que é suficiente para esgotar o limite de descritores de arquivos em sistemas Linux padrão. Isso resulta em falhas no os.CreateTemp, no acionamento do MULTIPART STRICT ERROR e no bloqueio de uploads legítimos. Além disso, causa a incapacidade de abrir novos arquivos ou sockets em todo o processo.

Recommendations Atualize o OWASP Coraza WAF para a versão 3.8.0.