CVE-2023-29197

Versões do guzzlehttp/psr7 anteriores à 1.9.1

Versões do guzzlehttp/psr7 anteriores à 2.4.5

O problema diz respeito à análise incorreta de cabeçalhos, permitindo que um invasor insira um caractere de nova linha ( ) tanto nos nomes quanto nos valores dos cabeçalhos. Muitos servidores também aceitam `

para encerrar a lista de cabeçalhos, o que não está de acordo com a especificação que determina quer r ` deve ser usado. Isso pode potencialmente levar a erros de aplicativo ou ao envio de solicitações HTTP inválidas, possivelmente causando um vetor de negação de serviço se o firewall de aplicativos web de um serviço remoto bloquear o aplicativo devido ao recebimento de solicitações malformadas.

Para versões do guzzlehttp/psr7 anteriores à 1.9.1, atualize para a versão 1.9.1 ou posterior.

Para versões do guzzlehttp/psr7 anteriores à 2.4.5, atualize para a versão 2.4.5 ou posterior.

Como solução temporária, considere validar as chaves e/ou valores dos cabeçalhos HTTP e, se estiver usando valores fornecidos pelo usuário, filtre-os para remover caracteres de nova linha à esquerda ou à direita antes do processamento.