CVE-2026-87859

Nome do Software Vulnerável e Versões Afetadas morgan versões anteriores a 1.12.1

Description A função escapeLogField() não escapa o caractere de aspas duplas utilizado para delimitar campos citados no formato de log combinado do Apache. Um invasor remoto não autenticado pode explorar isso injetando aspas duplas em valores gravados em campos citados, como os cabeçalhos User-Agent ou Referer. Isso permite que o invasor feche um campo prematuramente, fazendo com que consumidores de log que fazem a análise por posição de campo interpretem o texto fornecido pelo invasor como campos subsequentes. Em formatos integrados, isso faz com que os valores registrados difiram dos valores enviados e, em formatos personalizados, pode ser usado para forjar valores controlados pelo servidor, como o status da resposta. A separação de registros permanece intacta, pois não há injeção de novas linhas.

Recommendations Atualize para a versão 1.12.1 ou posterior.