CVE-2026-67354

guzzlehttp/guzzle الإصدارات الأقدم من 7.15.1

توجد مشكلة في الكشف عن المعلومات في RedirectMiddleware عند تمكين الإعداد الاختياري allow redirects.referer. أثناء إعادة التوجيه ضمن نفس المخطط (مثل HTTPS إلى HTTPS)، تقوم البرمجيات الوسيطة بنسخ جزء عنوان URI — وهو الجزء الذي يلي الرمز # — إلى رأس Referer الذي تم إنشاؤه. على الرغم من أن أجزاء URI تُعالج عادةً محليًّا بواسطة العميل ولا تُرسَل إلى الخادم في الطلب الأولي، فإن هذا السلوك يسمح للخادم الوجهة الذي يتحكم في إعادة التوجيه بقراءة الجزء من الرأس الوارد. وقد يؤدي ذلك إلى الكشف عن بيانات حساسة خاصة بالعميل، مثل رموز الوصول أو قيم الحالة أو أسرار تسجيل الدخول لمرة واحدة. تؤثر هذه المشكلة على كل من معالجات cURL ومعالجات التدفق. الإعداد referer معطَّل افتراضيًّا.

قم بتحديث guzzlehttp/guzzle إلى الإصدار 7.15.1 أو أحدث.

كحل مؤقت، تأكد من ضبط الإعداد allow redirects.referer على false.

أو بدلاً من ذلك، قم بتعطيل عمليات إعادة التوجيه التلقائية واتبع الوجهات الموثوقة يدويًّا، أو قم بإزالة الجزء من عنوان URI للطلب قبل إرسال طلب قد يؤدي إلى إعادة التوجيه.