PT-2026-47223
CVE-2026-49214
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات guzzlehttp/psr7 الأقدم من 2.10.2
الوصف
تفشل المكتبة في رفض أحرف التحكم ASCII أو المسافات البيضاء أو الحرف DEL في مكونات مضيف URI الخاصة بالطرف الأول. عندما يستخدم تطبيق ما عنوان URL يتحكم فيه المستخدم لإنشاء
Uri أو Request وفقًا لمعيار PSR-7 دون وجود رأس Host صريح، يتم نسخ مكون المضيف الذي يحتوي على CRLF أو أحرف أخرى غير آمنة للرؤوس إلى رأس Host. إذا لم يرفض عميل HTTP المضيف غير الصحيح بشكل مستقل، يمكن للمهاجم إدخال أسطر رؤوس إضافية يتحكم فيها المهاجم. قد يؤدي ذلك إلى تهريب الطلبات أو تسميم ذاكرة التخزين المؤقت في البيئات التي تستخدم إعادة استخدام اتصال HTTP/1.1 أو الوكلاء أو البوابات أو موزعات الحمل. تؤثر هذه المشكلة على التطبيقات التي تقوم بتنفيذ طلبات HTTP الصادرة أو إعادة توجيه عناوين URL أو الوكالة أو الزحف أو توصيل webhook.التوصيات
قم بالتحديث إلى الإصدار 2.10.2 أو أحدث.
كحل مؤقت، تحقق من صحة جميع سلاسل URI غير الموثوق بها وارفضها قبل إنشاء مثيلات PSR-7
Uri أو Request، مع رفض المدخلات التي تحتوي على أحرف التحكم ASCII أو المسافات البيضاء أو DEL (بما في ذلك أحرف CRLF أو علامة الجدولة أو المسافة أو NUL أو DEL) على وجه التحديد.تأكد من أن عميل HTTP النهائي أو أداة التسلسل ترفض بيانات URI ورؤوس الرسائل غير الصالحة قبل كتابة الطلبات إلى الشبكة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾