CWE-178БазаНеполный
Некорректная обработка чувствительности к регистру
Продукт не учитывает должным образом различия в чувствительности к регистру при обращении к ресурсу или определении его свойств, что приводит к непоследовательным результатам.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2026-40453Исправление для CVE-2025-27636 добавило setLwerCase(true) в HttpHeaderFilterStrategy, так что вариантные названия заголовков, такие как «CAmelExecCommandExecutable», отфильтровываются вместе с «CamelExecCommandExecutable». Тот же наборLowerCase (правдивый) вызов не был применен к пяти реализациям, не относившихся к HTTP HeaderFilterStrategy: JmsHeaderFilterStrategy и ClassicJmsHeaderFilterStrategy в верблюдах-джмах, SjmsHeaderFilterStrategy в верблюдах-с-мы, CoAPHEaderFilterStrategy в верблюдахGoogle-пабб. Поскольку эти стратегии используют чувствительный к регистру фильтрацию String.startsWith('Camel'/'camel') в то время как Camel Exchange хранит заголовки на нечувствительной к корпусу карте, злоумышленник с JMS (или эквивалентным) доступом производителя к брокеру, потребляемому маршрутом Camel, может вводить ватер-вариантные внутренние заголовки Camel, которые затем решаются ниже по течению. Это позволяет удаленное выполнение кода и произвольной записи файлов на маршрутах, которые перенаправляют сообщения JMS на компоненты, управляемые заголовком.
Эта проблема затрагивает Apache Camel: от 3.0.0 до 4.14.6, с 4.15.0 до 4.18.2, с 4.19.0 до 4.20.0.
Пользователям рекомендуется обновиться до версии 4.20.0, которая устраняет проблему. Если пользователи находятся на потоке выпусков 4,14.x LTS, то им предлагается обновиться до 4.14.6. Если пользователи находятся в потоке релизов 4.18.x, то им предлагается обновиться до 4.18.2.
CVE-2026-47323Camel-CXF и Camel-Knative Message Injection с помощью отсутствующей входной фильтрации
Реализующие CXF и Knative HeaderFilterSategy (CxfRsHeaderFilterStrategy в Camel-cxf-rest, CxfHeaderFilterStrategy в Camel-cxf-transport и KnativeHtpHeaderFilterStrategy в верблюде-knative-http) только фильтруют исходящих Camel-InterInFilter Начинается С. В результате неаутентифицированный злоумышленник может вводить Camel-внутренние заголовки (например, CamelExecCommandExecutable, CamelFileName) через HTTP-запросы на конечные точки CXF-RS или CXF-SOAP. Когда маршрут перенаправляет сообщения из этих конечных точек в компоненты, управляемые заголовком, такие как верблюд-исполнитель или верблюжий файл, вводимые заголовки перекраивают настроенные значения, что позволяет удаленное выполнение кода или записи произвольного файла. Это та же картина, которая ранее рассматривалась в верблюжьем подтексте (CVE-2025-30177), более широком фильтре входящего заголовка (CVE-2025-27636 и CVE-2025-29891) и стратегиях, не относящихся к HTTP (CVE-2026-40453).
Эта проблема затрагивает Apache Camel: от 3.18.0 до 4.14.6, от 4.15.0 до 4.18.2.
Пользователям рекомендуется обновиться до версии 4.19.0, которая устраняет проблему. Если пользователи находятся в потоке выпусков 4,18.x LTS, то им предлагается обновиться до 4.18.2. Если пользователи находятся в потоке выпусков 4,14.x LTS, то им предлагается обновиться до 4.14.6.
CVE-2025-59944Cursor - это редактор кода, созданный для программирования с помощью AI. Версии 1.6.23 и ниже содержат чувствительные к регистру проверки в том, как Cursor IDE защищает свои конфиденциальные файлы (например, */.cursor/mcp.json), что позволяет злоумышленникам изменять содержимое этих файлов путем быстрого инъекции и достигать удаленного выполнения кода. Быстрая инъекция может привести к полному RCE путем изменения конфиденциальных файлов в нечувствительных к регистру файловых игр. Эта проблема исправлена в версии 1.7.
CVE-2024-5699В нарушение спецификации, префиксы файлов cookie, такие как `__Secure`, игнорировались, если они не были написаны с правильным регистром - согласно спецификации, их следует проверять с помощью нечувствительного к регистру сравнения. Это могло привести к тому, что браузер неправильно учитывал поведение, указанное префиксом. Эта уязвимость затрагивает Firefox < 127.
CVE-2023-3545Неправильная очистка в `main/inc/lib/fileUpload.lib.php` в Chamilo LMS <= v1.11.20 в Windows и Apache позволяет неаутентифицированным злоумышленникам обходить средства защиты загрузки файлов и получать удаленное выполнение кода через загрузку файла `.htaccess`. Эта уязвимость может быть использована привилегированными злоумышленниками или объединена с неаутентифицированными уязвимостями произвольной записи файлов, такими как CVE-2023-3533, для достижения удаленного выполнения кода.
CVE-2022-29604Обнаружена проблема в ONOS 2.5.1. Намерение с заглавной буквой в идентификаторе устройства показывает состояние CORRUPT, что вводит в заблуждение сетевого оператора. Неправильная обработка чувствительности к регистру вызывает несоответствие между правилами намерения и потока в сети.
CVE-2020-12812Уязвимость, связанная с неправильной аутентификацией в SSL VPN в FortiOS 6.4.0, 6.2.0 - 6.2.3, 6.0.9 и более ранних версиях, может привести к тому, что пользователь сможет успешно войти в систему без запроса второго фактора аутентификации (FortiToken), если он изменил регистр своего имени пользователя.
CVE-2018-9845Etherpad Lite до версии 1.6.4 можно использовать для получения доступа к администратору.
CVE-2005-0269Проверка расширения файла в GNUBoard 3.40 и более ранних версиях проверяет только расширения, содержащие все строчные буквы, что позволяет удаленным злоумышленникам загружать произвольные файлы через расширения файлов, содержащие прописные буквы.
CVE-2004-2214HTTP-сервер Mbedthis AppWeb до версии 1.1.3 позволяет удаленным злоумышленникам обходить ограничения доступа через URI со смешанными регистрами символов.
CVE-2004-2154CUPS до 1.1.21rc1 обрабатывает директиву Location в cupsd.conf как чувствительную к регистру, что позволяет злоумышленникам обходить предполагаемые ACL через имя принтера, содержащее прописные или строчные буквы, которые отличаются от указанных в директиве.
CVE-2002-2119Novell eDirectory 8.6.2 и 8.7 используют пароли без учета регистра, что упрощает удаленным злоумышленникам проведение атак методом перебора паролей.
CVE-2002-1820register.php в Ultimate PHP Board (UPB) 1.0 и 1.0b использует учетную запись администратора Admin с заглавной буквы "A", но позволяет удаленному злоумышленнику выдавать себя за администратора, зарегистрировав имя учетной записи admin со строчной буквы "a".
CVE-2001-0766Apache в MacOS X Client 10.0.3 с файловой системой HFS+ позволяет удаленным злоумышленникам обходить ограничения доступа через URL-адрес, который содержит некоторые символы, регистр которых не соответствует фильтрам Apache.
CVE-2021-24347WordPress плагин SP Project & Document Manager версий до 4.22 позволяет пользователям загружать файлы, однако плагин пытается предотвратить загрузку php и других подобных файлов, которые могут быть выполнены на сервере, путем проверки расширения файла. Было обнаружено, что php файлы все еще могут быть загружены путем изменения регистра расширения файла, например, с "php" на "pHP".