CVE-2026-55766

إصدارات guzzlehttp/psr7 الأقدم من 2.12.1

يفشل guzzlehttp/psr7 في رفض أحرف «Carriage Return» (CR) و«Line Feed» (LF) في حقول محددة في السطر الأول لطلب HTTP، بما في ذلك طريقة الطلب وإصدار البروتوكول وعبارة سبب الاستجابة. يحدث هذا عندما يتم وضع بيانات يسيطر عليها المهاجم في هذه الحقول، ثم يتم تسلسلها لاحقًا كـ HTTP/1.x خام باستخدام دوال مثل Message::toString() أو أدوات التسلسل المكافئة. يمكن أيضًا إثارة هذه المشكلة عبر Message::parseRequest() أو Message::parseResponse() عندما يتم تحليل الرسائل الخام المشوهة إلى كائنات PSR-7 ثم إعادة تسلسلها. ولكي يحدث الاستغلال، يجب تسلسل الرسالة ذات التنسيق الخاطئ ومعالجتها بواسطة برنامج لا يرفض بشكل مستقل أسطر البداية ذات التنسيق الخاطئ. وقد يؤدي ذلك إلى حقن الرؤوس، أو تقسيم الاستجابة، أو تهريب الطلبات، أو تسميم ذاكرة التخزين المؤقت. لا يُتوقع أن تتأثر التطبيقات التي تستخدم واجهات برمجة تطبيقات عميل Guzzle HTTP القياسية؛ أما المخاطر فهي أعلى بالنسبة لتلك التي تقوم بتسلسل الرسائل يدويًّا، أو إعادة توجيه HTTP الخام، أو تنفيذ وسائل نقل مخصصة، أو الوكالة، أو webhooks.

التحديث إلى الإصدار 2.12.1 أو أحدث.

كحل مؤقت، قم برفض أحرف CR/LF في قيم «الطريقة» و«إصدار البروتوكول» و«عبارة السبب» غير الموثوق بها قبل إنشاء رسائل PSR-7 أو تعديلها.

تحقق من صحة سطر البداية الخام قبل استدعاء Message::parseRequest() أو Message::parseResponse() وتجنب إعادة تحليل الرسائل الخام غير الموثوق بها