Grahamcampbell

A denial of service issue exists in the `XmlRenderer` component, which generates depth-proportional indentation for every XML tag. An attacker can supply deeply nested Markdown or Abstract Syntax Tree (AST) structures to trigger quadratic memory consumption and output amplification, leading to the exhaustion of server resources.

The Footnote extension fails to deduplicate footnote definitions. This allows attackers to craft documents with duplicate footnote definitions and references to trigger quadratic output expansion, which consumes excessive memory and CPU to exhaust server resources, resulting in a denial of service.

A denial of service issue exists in the Attributes extension. The `findTargetAndDirection()` function in `AttributesListener` performs quadratic-time sibling list scanning. Unauthenticated attackers can exploit this by submitting approximately 32 KB of repeated attribute blocks, causing the parsing process to exceed 5 seconds and exhaust server resources.

A denial of service issue exists in the `UniqueSlugNormalizer::normalize()` function. The problem occurs when the function restarts its numeric-suffix search from 1 during every slug collision, leading to O(K^2) time complexity for K headings that collapse to the same base slug. This path is triggered when the `HeadingPermalinkExtension`, `FootnoteExtension`, or `TableOfContentsExtension` is registered. An unauthenticated attacker can provide a small Markdown document containing many headings that resolve to a single base slug, such as identical heading text, punctuation-only headings, or empty ATX headings, resulting in excessive CPU consumption.

تفشل معالجات cURL المدمجة (`CurlHandler` و`CurlMultiHandler`) في عزل رؤوس `Proxy-Authorization` بشكل صحيح عن خوادم المنشأ. يحدث هذا لأن المعالجات تضع رؤوس الطلبات من الدرجة الأولى في قائمة رؤوس الخادم الأصلي (`CURLOPT HTTPHEADER`) ولا تنقلها إلى قائمة الوكيل فقط (`CURLOPT PROXYHEADER`) إلا عند توقع وجود وكيل HTTP أو HTTPS. ونتيجة لذلك، قد يتم إرسال بيانات اعتماد الوكيل إلى الخادم الأصلي إذا كان الطلب مباشرًا، أو تم تجاوزه عبر إعدادات `no proxy`، أو تم إرساله عبر وكيل SOCKS، أو تمت إعادة توجيهه من نقطة توصيل عبر وكيل إلى مسار لا يمر عبر وكيل. في الأنظمة التي تحتوي على إصدار libcurl أقدم من 7.37.0 أو ملحقات PHP cURL التي تفتقر إلى `CURLOPT PROXYHEADER` و`CURLOPT HEADEROPT` و`CURLHEADER SEPARATE`، لا تتوفر قناة مخصصة للوكيل فقط، مما يترك الرأس في قائمة المنشأ لجميع المسارات. بالإضافة إلى ذلك، قد يكشف معالج الدفق عن بيانات الاعتماد عند دمجه مع عمليات تجاوز `stream context.http.proxy` الأولية. يمكن للمهاجم الذي يتحكم في خادم المنشأ التقاط بيانات الاعتماد الخاصة هذه من خلال سجلات الوصول أو أنظمة التتبع. وقد يتيح ذلك للمهاجم إساءة استخدام الوكلاء الخاضعين للتحكم في الوصول أو انتحال صفة صاحب الوكيل.

توجد مشكلة رفض الخدمة في مكون `CookieJar`. يقبل النظام عددًا غير محدود من حقول رأس `Set-Cookie` دون قيود على الحجم. يمكن لخادم ضار إرجاع العديد من ملفات تعريف الارتباط الكبيرة، مما يجبر التطبيق على تخزين بيانات زائدة في الذاكرة وإنشاء رؤوس `Cookie` كبيرة الحجم. قد يؤدي ذلك إلى زيادة استهلاك الذاكرة، وزيادة أوقات المعالجة، وفشل الطلبات عندما يتجاوز الرأس الذي تم إنشاؤه حدود المعالج أو تطبيق HTTP أو الوكيل أو الخادم الوجهة. بالإضافة إلى ذلك، يمكن لخادم موجود على مضيف شقيق تعيين ملفات تعريف ارتباط للمجال الأصلي تؤثر على الخدمات الشقيقة الأخرى التي تستخدم نفس ملف jar. تحدث هذه المشكلة عند تمكين الدعم المدمج لملفات تعريف الارتباط وإعادة استخدام ملف jar بعد تلقي استجابة يسيطر عليها المهاجم.

توجد مشكلة في الكشف عن المعلومات في `RedirectMiddleware` عند تمكين الإعداد الاختياري `allow redirects.referer`. أثناء إعادة التوجيه ضمن نفس المخطط (مثل HTTPS إلى HTTPS)، تقوم البرمجيات الوسيطة بنسخ جزء عنوان URI — وهو الجزء الذي يلي الرمز `#` — إلى رأس `Referer` الذي تم إنشاؤه. على الرغم من أن أجزاء URI تُعالج عادةً محليًّا بواسطة العميل ولا تُرسَل إلى الخادم في الطلب الأولي، فإن هذا السلوك يسمح للخادم الوجهة الذي يتحكم في إعادة التوجيه بقراءة الجزء من الرأس الوارد. وقد يؤدي ذلك إلى الكشف عن بيانات حساسة خاصة بالعميل، مثل رموز الوصول أو قيم الحالة أو أسرار تسجيل الدخول لمرة واحدة. تؤثر هذه المشكلة على كل من معالجات cURL ومعالجات التدفق. الإعداد `referer` معطَّل افتراضيًّا.

يفشل مكون `CookieJar` في الحفاظ على نطاق ”المضيف فقط“ لملفات تعريف الارتباط الخاصة بالاستجابة التي يتم تعيينها بدون سمة `Domain` أو بسمات فارغة. وبدلاً من وضع علامة ”المضيف فقط“ على ملفات تعريف الارتباط هذه، يقوم البرنامج بتخزين مضيف الطلب في حقل `Domain`. ويسمح هذا السلوك بإرسال ملفات تعريف الارتباط المخصصة حصريًا لمضيف رئيسي إلى مضيفات فرعية إذا تم إعادة استخدام نفس وعاء ملفات تعريف الارتباط عبر حدود ثقة مختلفة. يمكن للمهاجم الذي يتحكم في مضيف تابع أن يعترض معلومات حساسة، مثل معرّفات الجلسة ورموز التفويض. تؤثر هذه المشكلة أيضًا على `FileCookieJar` و`SessionCookieJar`، حيث إنهما يحتفظان بمضيف الطلب دون تسجيل الحالة المحددة بالمضيف فقط. يتم تشغيل هذه الثغرة الأمنية عندما يقوم أحد التطبيقات بتمكين دعم ملفات تعريف الارتباط، وإعادة استخدام وعاء ملفات تعريف الارتباط المدمج، وإرسال طلبات إلى كل من مضيف أب موثوق به ومضيف تابع أقل موثوقية.

تفشل الدالة `Uri::assertValidHost()` في رفض مكونات مضيف URI التي تحتوي على فواصل السلطة، أو المنافذ المضمنة، أو أقواس IPv6 غير صحيحة. ويسمح هذا التباين للدالة `Uri::getHost()` بإرجاع قيمة تختلف عن سلطة URI المستخدمة في قرارات التوجيه أو الأمان.

يفشل مكون `CookieJar` في تقييد ملفات تعريف الارتباط التي يقتصر نطاقها على عناوين IP أو قيم نطاقات رقمية بحتة على المضيف المحدد الذي أصدرها. يحدث هذا لأن الدالة `matchesDomain()` تطبق مطابقة اللاحقة العادية على النطاقات مثل `192.168.0.1` أو `[::1]` أو `1`. قد يؤدي هذا السلوك إلى تثبيت الجلسة أو حقن ملفات تعريف الارتباط أو الكشف عن ملفات تعريف الارتباط عبر المضيفين.

في بعض التكوينات، يتم إرسال حركة المرور التي من المفترض أن تكون محمية بواسطة TLS خلال مسارها إلى الوكيل (proxy) في شكل نص عادي. يحدث هذا عندما يستخدم أحد التطبيقات معالجات cURL المدمجة (`GuzzleHttpHandlerCurlHandler` و`GuzzleHttpHandlerCurlMultiHandler`) مع وكيل `https://` أثناء التشغيل على إصدارات libcurl أقدم من 7.50.2، والتي تعامل وكلاء HTTPS بصمت كوكلاء HTTP بنص عادي. ونتيجة لذلك، يتم إرسال بيانات اعتماد مصادقة الوكيل — بما في ذلك رأس `Proxy-Authorization`، ومعلومات مستخدم الوكيل في عنوان URL الخاص بالوكيل، أو `CURLOPT PROXYUSERPWD` — دون تشفير. بالإضافة إلى ذلك، يتم الكشف عن المضيف والمنفذ المستهدفين لـ `CONNECT` لطلبات HTTPS التي تمر عبر النفق، وبالنسبة لطلبات HTTP العادية، يتم الكشف عن كل من الرؤوس والنصوص الأساسية في مرحلة الوكيل.

The issue is related to improper header parsing, where an attacker could sneak in a newline into both the header names and values, potentially leading to denial of service vectors or application errors. This can occur when users create HTTP requests or responses using laminas/laminas-diactoros and provide a newline at the start or end of a header key or value, causing an invalid message.

The issue allows an attacker to sneak in a newline (` `) into both the header names and values. Although the specification states that `r r ` is used to terminate the header list, many servers also accept ` `. This could enable an attacker to craft invalid messages, potentially causing application errors or invalid HTTP requests being sent out with a PSR-18 HTTP client. The latter might present a denial of service vector if a remote service's web application firewall bans the application due to the receipt of malformed requests.

Guzzle, an extensible PHP HTTP client, has a issue where `Authorization` and `Cookie` headers on requests are sensitive information. In affected versions, when making a request that responds with a redirect to a URI with a different port, if the redirect is followed, the `Authorization` and `Cookie` headers should be removed from the request before proceeding. Previously, only changes in host or scheme would trigger this removal.

The issue concerns improper header parsing, allowing an attacker to sneak in a newline (` `) into both the header names and values. Many servers will also accept ` ` to terminate the header list, which is not in line with the specification that states `r r ` should be used. This could potentially lead to application errors or invalid HTTP requests being sent out, possibly causing a denial of service vector if a remote service's web application firewall bans the application due to the receipt of malformed requests.