CVE-2026-44982highCWE-693

CVE-2026-44982: falha de alta gravidade em crowdsecurity crowdsec

CrowdSec AppSec silently drops request body for chunked / HTTP-2 requests

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar crowdsec+ Monitorar github.com/crowdsecurity/crowdsec

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.2epss 0.4%
CrowdSec offers crowdsourced protection against malicious IPs. From 1.5.0 until 1.7.8, pkg/appsec/request.go NewParsedRequestFromRequest allocated a request body buffer from max(r.ContentLength, 0), so HTTP/1.1 requests using Transfer-Encoding: chunked and HTTP/2 requests without a content-length header produced an empty body and caused WAF rules targeting REQUEST_BODY, BODY_ARGS, ARGS_POST, JSON, or XML to be skipped. This issue is fixed in version 1.7.8.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Produtos afetados
crowdsecurity · crowdsec
CVEs relacionadas — crowdsecurity crowdsec

No mesmo produto, das mais perigosas para as menos.

CVE-2026-44981HIGHCrowdSec LAPI: Denial of Service via Unbounded Gzip DecompressionEPSS 0.5%