CVE-2026-55767

إصدارات Guzzle الأقدم من 7.12.1

يقبل CookieJar بشكل خاطئ ملفات تعريف الارتباط التي تحتوي على سمة Domain المكونة من نقاط فقط (مثل Domain=.، Domain=..، Domain=...) والمتغيرات المكملة بمسافات بيضاء. تقوم الدالة SetCookie::matchesDomain() بإزالة النقاط البادئة، وتحويل القيم المكونة من نقطة واحدة فقط إلى سلسلة فارغة. ونظرًا لأن الدالة SetCookie::validate() كانت ترفض فقط المجالات الفارغة تمامًا، فقد تم تخزين ملفات تعريف الارتباط هذه، وتم التعامل مع المجال الفارغ المُعَدَّل على أنه مطابق لأي مضيف طلب. يمكن لمصدر يتحكم فيه المهاجم، ويطلبه تطبيق يستخدم مخزن ملفات تعريف الارتباط المشترك، أن يضع ملف تعريف ارتباط يتم إرساله لاحقًا إلى مضيفات غير ذات صلة. قد يؤدي ذلك إلى حقن ملفات تعريف الارتباط أو تثبيت الجلسة ضد الخدمات التابعة. تؤثر هذه المشكلة على التطبيقات التي تستخدم دعم ملفات تعريف الارتباط في Guzzle، مثل new Client([’cookies‘ => true]) أو CookieJar مشترك صريح، عندما يتم إعادة استخدام نفس الـ«jar» عبر مصادر خاضعة لسيطرة المهاجمين ومصادر موثوقة.

قم بالتحديث إلى الإصدار 7.12.1 أو أحدث.

كحل مؤقت، تجنب إعادة استخدام نفس مثيل CookieJar عبر مصادر غير موثوق بها وموثوق بها.

استخدم ملفات تعريف ارتباط منفصلة لكل مصدر أو حدود الثقة.

قم بتعطيل معالجة ملفات تعريف الارتباط للطلبات الموجهة إلى مضيفات غير موثوق بها.

تجنب استخدام new Client([’cookies‘ => true]) للعملاء الذين قد يتصلون بمضيفات غير ذات صلة بمستويات ثقة مختلفة.