Coraza : corps multipart tronqué non signalé comme erreur stricte

Veille sécuritéBackend & données

P4Moyenne

Lorsqu’un corps multipart tronqué provoque io.ErrUnexpectedEOF, Coraza peut arrêter l’analyse sans activer le signal MULTIPART_STRICT_ERROR. Les règles défensives recommandées peuvent alors ne pas se déclencher, laissant passer un contenu interprété différemment par le serveur en aval.

IdentifiantCVE-2026-41508

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.8.0

Source : NVD — CVE-2026-41508

Analyse technique

Le parseur traite io.ErrUnexpectedEOF comme non fatale sans renseigner MULTIPART_STRICT_ERROR. Le désaccord d’analyse entre Coraza et l’application destinataire peut ainsi neutraliser la protection prévue par les règles 200002 et 200003.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-12 à 21:17:17.240Z, soit 2026-10-12T23:17:17.240+02:00, dans la période.

ImpactUn contournement de règles de sécurité est possible si le backend interprète différemment le corps multipart tronqué.

Versions affectéesCoraza 3.4.0 à 3.7.x; corrigé en 3.8.0.

Version corrigée3.8.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.8

Publication2026-10-12T23:17:17.240+02:00

Mise à jour2026-10-12T23:17:17.240+02:00

Détection / vérification

Vérifier la version de Coraza et le déclenchement des règles 200002 et 200003 sur les corps multipart tronqués.

Action recommandée

Mettre à niveau vers Coraza 3.8.0 ou ultérieure et vérifier le traitement défensif des corps multipart tronqués.

Sources

NVD — CVE-2026-41508

Priorisation DFS : P4 · 1 source(s).