CVSS: 9.8EPSS: 0%CPEs: 6EXPL: 3CVE-2021-35368
https://notcve.org/view.php?id=CVE-2021-35368
OWASP ModSecurity Core Rule Set 3.1.x before 3.1.2, 3.2.x before 3.2.1, and 3.3.x before 3.3.2 is affected by a Request Body Bypass via a trailing pathname. OWASP ModSecurity Core Rule Set versiones 3.1.x anteriores a 3.1.2, 3.2.x anteriores a 3.2.1 y 3.3.x anteriores a 3.3.2, está afectado por un desvío del cuerpo de la petición por medio de un nombre de ruta final • https://coreruleset.org/20210630/cve-2021-35368-crs-request-body-bypass https://lists.debian.org/debian-lts-announce/2023/01/msg00033.html https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6MS5GMNYHFFIBWLJW7N3XAD24SLF3PFZ https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/IVYUJOKHDEXFTM2CZMEESJ6TZSPVNSSZ https://owasp.org/www-project-modsecurity-core-rule-set https://portswigger.net/daily-swig/lessons-learned-how-a-severe-vulnerability-in-the-o •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 1CVE-2019-13464
https://notcve.org/view.php?id=CVE-2019-13464
An issue was discovered in OWASP ModSecurity Core Rule Set (CRS) 3.0.2. Use of X.Filename instead of X_Filename can bypass some PHP Script Uploads rules, because PHP automatically transforms dots into underscores in certain contexts where dots are invalid. Se detectó un problema en OWASP ModSecurity Core Rule Set (CRS) versión 3.0.2. El uso de X.Filename en lugar de X_Filename puede omitir algunas reglas de PHP Script Uploads, porque PHP transforma automáticamente los puntos en guiones bajos en determinados contextos donde los puntos no son válidos. • https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1386 https://github.com/SpiderLabs/owasp-modsecurity-crs/pull/1391 • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2019-11391
https://notcve.org/view.php?id=CVE-2019-11391
An issue was discovered in OWASP ModSecurity Core Rule Set (CRS) through 3.1.0. /rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf allows remote attackers to cause a denial of service (ReDOS) by entering a specially crafted string with $a# at the beginning and nested repetition operators. NOTE: the software maintainer disputes that this is a vulnerability because the issue cannot be exploited via ModSecurity ** EN DISPUTA ** Se detecto un problema en OWASP ModSecurity Core Rule Set (CRS) versión 3.1.0. El archivo /rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf permite a los atacantes remotos provocar una denegación de servicio (ReDOS) introduciendo una cadena especialmente diseñada con $a# al principio y operadores de repetición anidados. NOTA: el mantenedor del software discute si esto es una vulnerabilidad porque el problema no puede ser explotado mediante ModSecurity. • https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1357 https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1372 • CWE-400: Uncontrolled Resource Consumption •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2019-11390
https://notcve.org/view.php?id=CVE-2019-11390
An issue was discovered in OWASP ModSecurity Core Rule Set (CRS) through 3.1.0. /rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf allows remote attackers to cause a denial of service (ReDOS) by entering a specially crafted string with set_error_handler# at the beginning and nested repetition operators. NOTE: the software maintainer disputes that this is a vulnerability because the issue cannot be exploited via ModSecurity ** EN DISPUTA ** Un problema fue descubierto en OWASP ModSecurity Core Rule Set (CRS) versión 3.1.0. /rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf permite a los atacantes remotos provocar una denegación de servicio (ReDOS) introduciendo una cadena especialmente diseñada con set_error_handler# al principio y operadores de repetición anidados. NOTA: el mantenedor del software discute si esto es una vulnerabilidad porque el problema no puede ser explotado mediante ModSecurity. • https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1358 https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1372 • CWE-400: Uncontrolled Resource Consumption •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2019-11389
https://notcve.org/view.php?id=CVE-2019-11389
An issue was discovered in OWASP ModSecurity Core Rule Set (CRS) through 3.1.0. /rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf allows remote attackers to cause a denial of service (ReDOS) by entering a specially crafted string with next# at the beginning and nested repetition operators. NOTE: the software maintainer disputes that this is a vulnerability because the issue cannot be exploited via ModSecurity **EN DISPUTA ** Se detecto un problema en OWASP ModSecurity Core Rule Set (CRS) versión 3.1.0. El archivo /rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf permite a los atacantes remotos provocar una denegación de servicio (ReDOS) introduciendo una cadena especialmente diseñada con next# al principio y operadores de repetición anidados. NOTA: el mantenedor del software discute si esto es una vulnerabilidad porque el problema no puede ser explotado mediante ModSecurity. • https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1356 https://github.com/SpiderLabs/owasp-modsecurity-crs/issues/1372 • CWE-400: Uncontrolled Resource Consumption •