一、 漏洞 CVE-2025-48866 基础信息
漏洞信息
                                        # ModSecurity 在 sanitiseArg 操作中可能存在导致DoS的漏洞

## 漏洞概述
ModSecurity是一款开源的跨平台Web应用防火墙(WAF)引擎,支持Apache、IIS和Nginx。在版本2.9.10之前存在一个拒绝服务(DOS)漏洞,该漏洞与GHSA-859r-vvv8-rm8r/CVE-2025-47947类似。

## 影响版本
- 版本2.9.10之前的版本

## 漏洞细节
漏洞存在于`sanitiseArg`函数(包括其别名`sanitizeArg`)中,该函数可被利用通过添加过多的参数导致拒绝服务。

## 影响
影响版本中的`sanitiseArg``sanitizeArg`规则会受到类似GHSA-859r-vvv8-rm8r/CVE-2025-47947的拒绝服务攻击。版本2.9.10已修复此漏洞。作为临时解决方案,避免使用包含`sanitiseArg``sanitizeArg`动作的规则。
                                        
提示
尽管我们采用了先进的大模型技术,但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确,但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利!
漏洞标题
ModSecurity has possible DoS vulnerability in sanitiseArg action
来源:美国国家漏洞数据库 NVD
漏洞描述信息
ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. Versions prior to 2.9.10 contain a denial of service vulnerability similar to GHSA-859r-vvv8-rm8r/CVE-2025-47947. The `sanitiseArg` (and `sanitizeArg` - this is the same action but an alias) is vulnerable to adding an excessive number of arguments, thereby leading to denial of service. Version 2.9.10 fixes the issue. As a workaround, avoid using rules that contain the `sanitiseArg` (or `sanitizeArg`) action.
来源:美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源:美国国家漏洞数据库 NVD
漏洞类别
循环内过多的平台资源消耗
来源:美国国家漏洞数据库 NVD
漏洞标题
ModSecurity 安全漏洞
来源:中国国家信息安全漏洞库 CNNVD
漏洞描述信息
ModSecurity是OWASP ModSecurity开源的一个开源、跨平台的web应用程序防火墙(WAF)引擎。 ModSecurity 2.9.10之前版本存在安全漏洞,该漏洞源于sanitiseArg操作可能添加过多参数,可能导致拒绝服务。
来源:中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源:中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源:中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-48866 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-48866 的情报信息