PT-2026-67328
CVE-2026-67355
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
guzzlehttp/guzzle الإصدارات الأقدم من 7.15.1
الوصف
يفشل مكون
CookieJar في الحفاظ على نطاق ”المضيف فقط“ لملفات تعريف الارتباط الخاصة بالاستجابة التي يتم تعيينها بدون سمة Domain أو بسمات فارغة. وبدلاً من وضع علامة ”المضيف فقط“ على ملفات تعريف الارتباط هذه، يقوم البرنامج بتخزين مضيف الطلب في حقل Domain. ويسمح هذا السلوك بإرسال ملفات تعريف الارتباط المخصصة حصريًا لمضيف رئيسي إلى مضيفات فرعية إذا تم إعادة استخدام نفس وعاء ملفات تعريف الارتباط عبر حدود ثقة مختلفة. يمكن للمهاجم الذي يتحكم في مضيف تابع أن يعترض معلومات حساسة، مثل معرّفات الجلسة ورموز التفويض. تؤثر هذه المشكلة أيضًا على FileCookieJar وSessionCookieJar، حيث إنهما يحتفظان بمضيف الطلب دون تسجيل الحالة المحددة بالمضيف فقط. يتم تشغيل هذه الثغرة الأمنية عندما يقوم أحد التطبيقات بتمكين دعم ملفات تعريف الارتباط، وإعادة استخدام وعاء ملفات تعريف الارتباط المدمج، وإرسال طلبات إلى كل من مضيف أب موثوق به ومضيف تابع أقل موثوقية.التوصيات
قم بتحديث guzzlehttp/guzzle إلى الإصدار 7.15.1 أو أحدث.
كحل مؤقت، تجنب إعادة استخدام مثيل
CookieJar واحد عبر المضيفين الأصليين والتابعين ذوي مستويات الثقة المختلفة.استخدم ملف تعريف ارتباط منفصل لكل مضيف أو حدود ثقة.
قم بتعطيل معالجة ملفات تعريف الارتباط للطلبات الموجهة إلى المضيفين الأقل ثقة.
تجنب استخدام
new Client([’cookies‘ => true]) للعملاء الذين يتصلون بكل من المضيفين الأصليين الموثوق بهم والمجالات الفرعية الأقل موثوقية.احذف أو قم بتناوب
FileCookieJar الموجود و وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾