Une mise à jour substantielle de la fiche NVD signale une discordance d’interprétation des noms de fichiers multipart entre ModSecurity et les parseurs courants, notamment ceux utilisés par des applications Python. Un nom encodé dans filename* peut être retenu par l’application alors que le WAF inspecte le nom filename; la version 3.0.17 est indiquée comme corrective.
Source : NVD — CVE-2026-104269
Analyse technique
La divergence peut permettre à des règles MULTIPART_FILENAME et à l’application de prendre des décisions de sécurité sur des noms différents. La source précise que le parseur multipart natif de PHP n’est pas concerné.
Impact, versions et correctif
Action recommandée
Mettre à niveau ModSecurity vers 3.0.17 ou ultérieur et vérifier que les contrôles de sécurité de l’application et du WAF interprètent de manière cohérente les paramètres filename et filename*.
Sources
Priorisation DFS : P3 · 1 source(s).