CVE-2025-1734
ŚrednieStreszczenie
W PHP od wersji 8.1.* przed 8.1.32, 8.2.* przed 8.2.28, 8.3.* przed 8.3.19, 8.4.* przed 8.4.5, podczas odbierania nagłówków od serwera HTTP, nagłówki bez dwukropka (:) są traktowane jako prawidłowe, mimo że nimi nie są. Może to wprowadzić aplikacje w błąd, akceptując nieprawidłowe nagłówki.
Ocena ryzyka
Aplikacja może akceptować nieprawidłowe nagłówki HTTP, co może prowadzić do nieoczekiwanego zachowania lub ataków typu request smuggling.
Rekomendacja
Zaleca się aktualizację PHP do wersji 8.1.32, 8.2.28, 8.3.19, 8.4.5 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
In PHP from 8.1.* before 8.1.32, from 8.2.* before 8.2.28, from 8.3.* before 8.3.19, from 8.4.* before 8.4.5, when receiving headers from HTTP server, the headers missing a colon (:) are treated as valid headers even though they are not. This may confuse applications into accepting invalid headers.