VULNERABILIDADDetectada 05 NOV · 14:28

CVE-2026-73856 Evasión de inspección del cuerpo de respuesta en ModSecurity

Desde 3.0.0 hasta 3.0.17, src/transaction.cc de ModSecurity compara el Content-Type de la respuesta con las entradas de SecResponseBodyMimeType distinguiendo mayúsculas y minúsculas. Un tipo de medio con mayúsculas mixtas equivalente a uno configurado en minúsculas se trata como no configurado y se omite la inspección de RESPONSE_BODY, permitiendo a un solicitante no autenticado recibir contenido que una regla de fase 4 bloquearía, incluidos datos sensibles de error o depuración. Corregido en 3.0.17.

8.6ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,6 % · percentil 47
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

owasp-modsecurity ModSecurity
>= 3.0.0, < 3.0.17

Qué hacer

Verificá si usás ModSecurity y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.6 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

Descripción original

ModSecurity is an open source, cross platform web application firewall (WAF) engine for Apache, IIS and Nginx. From 3.0.0 until 3.0.17, src/transaction.cc compares a response Content-Type value against SecResponseBodyMimeType entries case-sensitively. A mixed-case response media type that is semantically equivalent to a configured lowercase type can therefore be treated as unconfigured, causing ModSecurity to skip RESPONSE_BODY inspection. An unauthenticated requester can then receive response content that a phase 4 rule would otherwise block, including sensitive error or debug data. This issue is fixed in version 3.0.17.

Referencias (3)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.