CVE-2026-59882
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W bibliotece guzzlehttp/psr7 w wersjach przed 2.12.3 funkcja Uri::assertValidHost() nie odrzuca nieprawidłowych komponentów hosta URI, które mogą zawierać ograniczniki autorytetu, osadzone porty lub źle sformatowane nawiasy IPv6. Powoduje to, że Uri::getHost() może zwracać wartość różniącą się od rzeczywistego autorytetu URI, co może prowadzić do błędów w decyzjach bezpieczeństwa lub routingu.
Ocena ryzyka
Organizacja może być narażona na ataki polegające na manipulacji URI, gdzie atakujący może wykorzystać rozbieżność między wartością zwracaną przez getHost() a rzeczywistym autorytetem URI, co może prowadzić do nieautoryzowanego dostępu, przekierowań lub innych naruszeń bezpieczeństwa.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę guzzlehttp/psr7 do wersji 2.12.3 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w guzzlehttp/psr7
Zobacz wszystkie- CVE-2026-55766Średnie
Biblioteka guzzlehttp/psr7 przed wersją 2.12.1 nie odrzucała znaków CR/LF w polach linii startowej HTTP (metoda żądania, wersja protokołu, fraza przyczyny odpowiedzi). Atakujący może umieścić kontrolowane dane w tych polach, a po serializacji wiadomości PSR-7 do surowego HTTP/1.x (np. przez Message::toString()) może dojść do wstrzyknięcia nagłówków HTTP.
- CVE-2026-49214Średnie
Biblioteka guzzlehttp/psr7 w wersjach przed 2.10.2 nie odrzucała znaków kontrolnych ASCII, białych znaków ani DEL w komponentach hosta URI. To może prowadzić do wstrzykiwania dodatkowych nagłówków przez atakującego, co stwarza ryzyko dla aplikacji korzystających z kontrolowanych przez użytkownika URL.
- CVE-2026-48998Średnie
Biblioteka guzzlehttp/psr7 w wersjach przed 2.10.2 zawiera niewłaściwą walidację nagłówka Host, co może prowadzić do nieprawidłowego przetwarzania URI w żądaniach HTTP. Atakujący może wprowadzić złośliwy nagłówek Host, co skutkuje różnicą między oryginalną wartością a wartością URI hosta.
Oryginalny opis (angielski, źródło NVD)
guzzlehttp/psr7 is a PSR-7 HTTP message library implementation in PHP. Prior to 2.12.3, Uri::assertValidHost() does not reject URI host components containing authority delimiters, embedded ports, or malformed IPv6 brackets, allowing Uri::getHost() to disagree with the URI authority used for security or routing decisions. This issue is fixed in version 2.12.3.