CVE-2026-67339

guzzlehttp/guzzle الإصدارات الأقدم من 7.14.2

تفشل معالجات cURL المدمجة (CurlHandler وCurlMultiHandler) في عزل رؤوس Proxy-Authorization بشكل صحيح عن خوادم المنشأ. يحدث هذا لأن المعالجات تضع رؤوس الطلبات من الدرجة الأولى في قائمة رؤوس الخادم الأصلي (CURLOPT HTTPHEADER) ولا تنقلها إلى قائمة الوكيل فقط (CURLOPT PROXYHEADER) إلا عند توقع وجود وكيل HTTP أو HTTPS. ونتيجة لذلك، قد يتم إرسال بيانات اعتماد الوكيل إلى الخادم الأصلي إذا كان الطلب مباشرًا، أو تم تجاوزه عبر إعدادات no proxy، أو تم إرساله عبر وكيل SOCKS، أو تمت إعادة توجيهه من نقطة توصيل عبر وكيل إلى مسار لا يمر عبر وكيل.

في الأنظمة التي تحتوي على إصدار libcurl أقدم من 7.37.0 أو ملحقات PHP cURL التي تفتقر إلى CURLOPT PROXYHEADER وCURLOPT HEADEROPT وCURLHEADER SEPARATE، لا تتوفر قناة مخصصة للوكيل فقط، مما يترك الرأس في قائمة المنشأ لجميع المسارات. بالإضافة إلى ذلك، قد يكشف معالج الدفق عن بيانات الاعتماد عند دمجه مع عمليات تجاوز stream context.http.proxy الأولية.

يمكن للمهاجم الذي يتحكم في خادم المنشأ التقاط بيانات الاعتماد الخاصة هذه من خلال سجلات الوصول أو أنظمة التتبع. وقد يتيح ذلك للمهاجم إساءة استخدام الوكلاء الخاضعين للتحكم في الوصول أو انتحال صفة صاحب الوكيل.

قم بتحديث guzzlehttp/guzzle إلى الإصدار 7.14.2.

كحل مؤقت، قم بإزالة حقول Proxy-Authorization من الدرجة الأولى من الطلبات، والإعدادات الافتراضية للعميل، والبرمجيات الوسيطة، وبدلاً من ذلك قم بتوفير بيانات اعتماد الوكيل عبر