Owasp · Owasp Modsecurity Core Rule Set · CVE-2022-39955
**Nome do software vulnerável e versões afetadas**
OWASP ModSecurity Core Rule Set (CRS), versões 3.0.x a 3.3.2
**Descrição**
A vulnerabilidade diz respeito a uma contornagem parcial do conjunto de regras por meio do envio de um campo de cabeçalho HTTP Content-Type especialmente criado, que indica múltiplos esquemas de codificação de caracteres. Um back-end vulnerável pode ser potencialmente explorado ao declarar múltiplos nomes de `charset` no Content-Type, contornando assim a lista de permissões configurável de `charset` do cabeçalho Content-Type do CRS. Uma carga útil codificada pode contornar a detecção do CRS e, em seguida, ser decodificada pelo back-end.
**Recomendações**
Para as versões 3.0.x e 3.1.x, atualize para uma versão mais recente, pois essas são legadas e não têm mais suporte.
Para a versão 3.2.1, atualize para a 3.2.2.
Para a versão 3.3.2, atualize para a 3.3.3.
Como solução alternativa temporária, considere restringir o uso de vários nomes de `charset` no campo de cabeçalho Content-Type para minimizar o risco de exploração.