CVE-2026-107825— OWASP Coraza WAF 请求解析失败静默丢弃参数
一分钟漏洞结论
影响对象
corazawaf coraza
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
OWASP Coraza WAF 是一个与 ModSecurity 兼容、基于 Go 语言开发的 Web 应用防火墙（WAF）库。在版本 3.0.0 至 3.8.0 之间， 文件中的 函数在处理 解析失败时，仅保留了原始 URI，但将 、 、 以及由 GET 方法派生的 部分置为空。攻击者无需身份认证，即可通过 coraza-spoa、coraza-proxy-wasm、自定义 FFI 主机或 WASM 主机等集成方式，向直接传入的 URI 中注入控制字节。这会导致 Coraza 忽略某些查询参数，而下游集成组件可
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-107825 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
OWASP Coraza WAF: ProcessURI silently drops QUERY_STRING and ARGS_GET on URI parse failure — defense-in-depth bypass for non-net/http integrations
来源: CVE Program / CVE List V5
Vulnerability Description
OWASP Coraza WAF is a golang modsecurity compatible web application firewall library. From 3.0.0 until 3.8.0, ProcessURI in internal/corazawaf/transaction.go handles a url.ParseRequestURI failure by retaining the raw URI but leaving QUERY_STRING, ARGS_GET, ARGS_GET_NAMES, and the GET-derived portion of ARGS empty. An unauthenticated attacker can place control bytes in a URI passed directly by integrations such as coraza-spoa, coraza-proxy-wasm, custom FFI hosts, or WASM hosts, causing Coraza to omit query parameters that the downstream integration may still process and allowing rules targeting those variables to be bypassed. The bundled coraza/v3/http integration is not affected because Go net/http rejects such malformed request targets before calling Coraza. This issue is fixed in version 3.8.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
输入验证不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-107825 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-107825 的情报信息
请登录查看更多情报信息。
CVE-2026-107825 其他参考 (3)
-
https://github.com/corazawaf/coraza/releases/tag/v3.8.0 x_refsource_MISC
-
https://github.com/corazawaf/coraza/security/advisories/GHSA-x26q-wvhg-fh4m x_refsource_CONFIRM
同批安全公告 · corazawaf · 2026-10-09 · 共 5 条
| CVE-2026-107826 | 7.5 HIGH | OWASP Coraza WAF JSON处理器栈溢出漏洞 |
| CVE-2026-107833 | 5.9 MEDIUM | OWASP Coraza WAF JSON响应体处理器递归导致CPU耗尽漏洞 |
| CVE-2026-107834 | 5.3 MEDIUM | OWASP Coraza WAF multipart body processor 文件句柄耗尽漏洞 |
| CVE-2026-107835 | 4.0 MEDIUM | OWASP Coraza WAF cookie解析混淆漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-107825
暂无评论