CVE-2026-67353

guzzlehttp/guzzle الإصدارات الأقدم من 7.15.1

توجد مشكلة رفض الخدمة في مكون CookieJar. يقبل النظام عددًا غير محدود من حقول رأس Set-Cookie دون قيود على الحجم. يمكن لخادم ضار إرجاع العديد من ملفات تعريف الارتباط الكبيرة، مما يجبر التطبيق على تخزين بيانات زائدة في الذاكرة وإنشاء رؤوس Cookie كبيرة الحجم. قد يؤدي ذلك إلى زيادة استهلاك الذاكرة، وزيادة أوقات المعالجة، وفشل الطلبات عندما يتجاوز الرأس الذي تم إنشاؤه حدود المعالج أو تطبيق HTTP أو الوكيل أو الخادم الوجهة. بالإضافة إلى ذلك، يمكن لخادم موجود على مضيف شقيق تعيين ملفات تعريف ارتباط للمجال الأصلي تؤثر على الخدمات الشقيقة الأخرى التي تستخدم نفس ملف jar. تحدث هذه المشكلة عند تمكين الدعم المدمج لملفات تعريف الارتباط وإعادة استخدام ملف jar بعد تلقي استجابة يسيطر عليها المهاجم.

قم بتحديث guzzlehttp/guzzle إلى الإصدار 7.15.1 أو أحدث.

كحل مؤقت، تجنب تمكين ملف jar مدمج مشترك لملفات تعريف الارتباط للطلبات الموجهة إلى مصادر غير موثوق بها.

استخدم ملفات jar منفصلة لكل مضيف أو حدود الثقة.

قم بتعطيل معالجة ملفات تعريف الارتباط للطلبات غير الموثوق بها.

تخلص من ملف jar أو امسحه بعد تلقي استجابة غير موثوق بها قبل إعادة استخدامه.

قم بتنفيذ واجهة CookieJarInterface مخصصة لفرض حدود مناسبة إذا كان لا بد من قبول ملفات تعريف الارتباط من نظراء غير موثوق بهم.