PT-2026-47222
CVE-2026-48998
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
guzzlehttp/psr7 الإصدارات الأقدم من 2.10.2
الوصف
يحدث خطأ في التحقق من صحة رأس المضيف (Host header) عند تحليل رسائل طلبات HTTP الأولية أو استخلاص عنوان URI لطلب الخادم من متغيرات الخادم. يمكن للمهاجم تقديم رأس مضيف مشوه يحتوي على فواصل سلطة URI، مثل
trusted.example@evil.example. وعند استخدام هذه القيمة لإنشاء عنوان URI، يمكن إعادة تفسيرها على أنها معلومات المستخدم (userinfo) وعنوان المضيف (host) في عنوان URI، مما يؤدي إلى اختلاف عنوان المضيف في طلب URI الناتج عن رأس المضيف الأصلي. يؤثر هذا على التطبيقات التي تستخدم الدالة GuzzleHttpPsr7Message::parseRequest()، أو الدالة القديمة GuzzleHttpPsr7parse request()، أو تلك التي تبني طلبات الخادم من متغيرات الخادم التي يتحكم فيها المهاجم والتي تعتمد على مضيف عنوان URI للتوجيه أو فحوصات قائمة السماح أو إعادة التوجيه. في سيناريوهات البوابة أو إعادة التوجيه، قد يؤدي هذا إلى إرسال الطلبات أو بيانات الاعتماد إلى مضيف غير مقصود.التوصيات
قم بالتحديث إلى الإصدار 2.10.2.
كحل مؤقت، تحقق من صحة رأس
Host على أنه uri-host [ ”:“ port ] قبل استدعاء Message::parseRequest() أو parse request() على بيانات غير موثوق بها، أو قبل اتخاذ قرارات التوجيه وإعادة التوجيه. ارفض قيم Host التي تحتوي على فواصل userinfo أو path أو query أو fragment.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾