Le journal DFS
Backend & données
-
Coraza : accumulation de descripteurs de fichiers dans le traitement multipart
P4 · Moyenne — Le processeur multipart de Coraza diffère la fermeture des fichiers temporaires jusqu’à la fin du traitement de la requête, ce qui peut…
-
Coraza : corps de formulaire URL-encoded avec paramètres ignoré par l’inspection
P4 · Moyenne — Coraza ne sélectionne pas son processeur de corps URL-encoded lorsque le type de contenu valide comporte des paramètres, par exemple un paramètre…
-
Coraza : épuisement de ressources possible avec des réponses JSON profondément imbriquées
P4 · Moyenne — Le processeur de réponses JSON de Coraza n’applique pas de limite de récursion, ce qui peut mobiliser fortement le processeur face à…
-
Coraza : contournement de règles d’inspection des noms de fichiers multipart
P4 · Moyenne — Lors du traitement des fichiers multipart, Coraza peut ignorer un nom fourni par le paramètre étendu `filename*` si son jeu de caractères…
-
Coraza — confusion de parseur de cookies pouvant contourner des règles WAF
P4 · Moyenne — Coraza ne retirait pas certains caractères de contrôle placés au bord du nom ou de la valeur d’un cookie, ce qui pouvait…
-
Coraza : inspection des paramètres GET contournable sur URI malformée dans certaines intégrations
P4 · Moyenne — Coraza ne renseigne pas `QUERY_STRING` ni les arguments GET si `url.ParseRequestURI` échoue, ce qui peut empêcher des règles WAF d’inspecter ces données.…
-
OWASP Coraza WAF : contournement de règles avec des échappements octaux JavaScript
P4 · Moyenne · CVE-2026-104774 — OWASP Coraza WAF traite incorrectement certaines séquences d’échappement octales JavaScript avec la transformation t:jsDecode. Un attaquant non authentifié peut ainsi…
-
Coraza : collision de clés dans le processeur JSON pouvant contourner l’inspection du WAF
P4 · Moyenne — Le processeur JSON de Coraza a une collision de clés lors de l’aplatissement des propriétés : un nom de propriété contenant un…
-
moby/sys/user : déni de service par analyse non bornée de fichiers de comptes
P4 · Moyenne · CVE-2026-61801 — Le parseur de github.com/moby/sys/user peut consommer une quantité excessive de mémoire lorsqu’il traite des fichiers de comptes utilisateur ou de…
-
AsyncHttpClient : réutilisation inter-identités de connexions NTLM et Negotiate
P3 · Élevée · CVE-2026-107281 — CVE-2026-107281 affecte AsyncHttpClient : le pool HTTP/1.1 peut réutiliser une connexion authentifiée par NTLM ou Negotiate pour une requête portant…