PT-2026-50791
CVE-2026-55568
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Guzzle الأقدم من 7.12.1
الوصف
في بعض التكوينات، يتم إرسال حركة المرور التي من المفترض أن تكون محمية بواسطة TLS خلال مسارها إلى الوكيل (proxy) في شكل نص عادي. يحدث هذا عندما يستخدم أحد التطبيقات معالجات cURL المدمجة (
GuzzleHttpHandlerCurlHandler وGuzzleHttpHandlerCurlMultiHandler) مع وكيل https:// أثناء التشغيل على إصدارات libcurl أقدم من 7.50.2، والتي تعامل وكلاء HTTPS بصمت كوكلاء HTTP بنص عادي. ونتيجة لذلك، يتم إرسال بيانات اعتماد مصادقة الوكيل — بما في ذلك رأس Proxy-Authorization، ومعلومات مستخدم الوكيل في عنوان URL الخاص بالوكيل، أو CURLOPT PROXYUSERPWD — دون تشفير. بالإضافة إلى ذلك، يتم الكشف عن المضيف والمنفذ المستهدفين لـ CONNECT لطلبات HTTPS التي تمر عبر النفق، وبالنسبة لطلبات HTTP العادية، يتم الكشف عن كل من الرؤوس والنصوص الأساسية في مرحلة الوكيل.التوصيات
قم بتحديث Guzzle إلى الإصدار 7.12.1 أو أحدث.
كحل مؤقت، تجنب تكوين وكيل
https:// في التثبيتات التي تفتقر فيها مكتبة libcurl إلى دعم وكلاء HTTPS، وتحقق من هذه الإمكانية في كود التطبيق قبل الاستخدام.قم بترقية مكتبة libcurl الخاصة بالنظام إلى الإصدار 7.52.0 أو أحدث، والتي تم تجميعها مع دعم وكلاء HTTPS.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾