CVE-2022-31043

Versões do Guzzle anteriores à 6.5.7

Versões do Guzzle anteriores à 7.4.4

O problema está relacionado ao tratamento dos cabeçalhos Authorization nas solicitações. Quando uma solicitação é feita usando o esquema https para um servidor que responde com um redirecionamento para uma URI com o esquema http, o cabeçalho Authorization não deve ser encaminhado. No entanto, antes da correção, as transições de https para http não resultavam na remoção do cabeçalho Authorization, apenas em alterações no host. Isso poderia permitir que um invasor remoto divulgasse informações confidenciais.

Os usuários afetados que utilizam o Guzzle 7 devem atualizar para a versão 7.4.4 o mais rápido possível.

Os usuários afetados que utilizam qualquer série anterior do Guzzle devem atualizar para a versão 6.5.7 ou 7.4.4.

Como solução alternativa temporária, os usuários que não puderem atualizar podem considerar o uso de seu próprio middleware de redirecionamento.

Como alternativa, os usuários podem simplesmente desativar os redirecionamentos por completo, caso não sejam esperados ou necessários.