CVE-2026-33691

Nome do Software Vulnerável e Versões Afetadas OWASP Core Rule Set versões anteriores a 3.3.9 OWASP Core Rule Set versões anteriores a 4.25.0

Description Existe um bypass no OWASP Core Rule Set (CRS), um conjunto de regras genéricas de detecção de ataques para firewalls de aplicações web. O problema permite o upload de arquivos com extensões perigosas, como .php, .phar, .jsp e .jspx, através da inserção de preenchimento de espaços em branco no nome do arquivo. Isso ocorre porque as regras afetadas não normalizam os espaços em branco antes de avaliar a expressão regular da extensão do arquivo, fazendo com que a verificação de extensão falhe. Este bypass é mais prático em sistemas Windows e pode potencialmente levar à Execução Remota de Código (RCE) se a aplicação subjacente for vulnerável.

Recommendations Atualizar para a versão 3.3.9. Atualizar para a versão 4.25.0.