CVE-2026-67355

Nome do Software Vulnerável e Versões Afetadas guzzlehttp/guzzle versões anteriores a 7.15.1

Description O componente CookieJar falha ao preservar o escopo de cookies exclusivos do host (host-only) que são definidos sem um atributo Domain ou com um atributo vazio. Em vez de marcar esses cookies como exclusivos do host, o software armazena o host da requisição no campo Domain. Esse comportamento permite que cookies destinados exclusivamente a um host pai sejam enviados para hosts filhos se o mesmo jar de cookies for reutilizado entre diferentes limites de confiança. Um invasor que controle um host filho poderá, potencialmente, interceptar informações sensíveis, como identificadores de sessão e tokens de autorização. Este problema também afeta o FileCookieJar e o SessionCookieJar, pois eles persistem o host da requisição sem registrar o estado de exclusividade do host. A vulnerabilidade é ativada quando uma aplicação habilita o suporte a cookies, reutiliza um jar de cookies integrado e faz requisições tanto para um host pai confiável quanto para um host filho menos confiável.

Recommendations Atualize o guzzlehttp/guzzle para a versão 7.15.1 ou posterior. Como solução temporária, evite reutilizar uma única instância de CookieJar entre hosts pai e filhos com diferentes níveis de confiança. Use um jar de cookies separado para cada host ou limite de confiança. Desative a manipulação de cookies para requisições feitas a hosts menos confiáveis. Evite usar new Client(['cookies' => true]) para clientes que contatem tanto hosts pai confiáveis quanto subdomínios menos confiáveis. Exclua ou rotacione os dados existentes do FileCookieJar e SessionCookieJar que foram gravados por versões anteriores a 7.15.1.