https://alertas.dupin.com.ar/fabricante/owasp-modsecurity/Alertas de vulnerabilidades de owasp-modsecurity.esThu, 05 Nov 2026 17:28:16 +000010https://alertas.dupin.com.ar/cve/CVE-2026-61813/tg:63530Thu, 05 Nov 2026 17:28:16 +0000VulnerabilidadAntes de 2.9.15 y 3.0.17, HttpsClient::download en src/utils/https_client.cc de ModSecurity configura CURLOPT_SSL_VERIFYHOST en 1 en lugar del valor estricto 2L. En condiciones de intermediario y de interceptación TLS, esta configuración débil puede reducir la validación de identidad del par y aumentar el riesgo de aceptar un certificado para un host no previsto. Corregido en 2.9.15 y 3.0.17.https://alertas.dupin.com.ar/cve/CVE-2026-73856/tg:63529Thu, 05 Nov 2026 17:28:15 +0000VulnerabilidadDesde 3.0.0 hasta 3.0.17, src/transaction.cc de ModSecurity compara el Content-Type de la respuesta con las entradas de SecResponseBodyMimeType distinguiendo mayúsculas y minúsculas. Un tipo de medio con mayúsculas mixtas equivalente a uno configurado en minúsculas se trata como no configurado y se omite la inspección de RESPONSE_BODY, permitiendo a un solicitante no autenticado recibir contenido que una regla de fase 4 bloquearía, incluidos datos sensibles de error o depuración. Corregido en 3.0.17.