CVE-2026-59883
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W bibliotece Guille (PHP HTTP client) w wersjach przed 7.12.3 wykryto podatność w klasie CookieJar. Mechanizm dopasowywania domen w metodzie SetCookie::matchesDomain() nieprawidłowo traktował adresy IP (np. 192.168.0.1, [::1]) oraz wartości numeryczne jako domeny, stosując zwykłe dopasowanie sufiksów, co umożliwiało wyciek ciasteczek między hostami, wstrzykiwanie ciasteczek lub fiksację sesji.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do kradzieży lub podmiany ciasteczek sesyjnych między różnymi hostami w sieci lokalnej, co prowadzi do przejęcia sesji użytkownika lub nieautoryzowanego dostępu do aplikacji.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Guzzle do wersji 7.12.3 lub nowszej, która zawiera poprawkę eliminującą problem.
Inne podatności w Guzzle
Zobacz wszystkie- CVE-2026-69246Wysokie
Guzzle, rozszerzalny klient HTTP w PHP, przed wersjami 7.15.2 i 8.0.1, zawiera podatność polegającą na rozbieżności między parsowaniem URI przez Guzzle a libcurl. Atakujący, który wpływa na URI żądania, może ominąć sprawdzenia aplikacji i uzyskać dostęp do hostów, które powinny być zablokowane. Problem naprawiono w wersjach 7.15.2 i 8.0.1.
- CVE-2026-69245Średnie
Guzzle przed wersjami 7.15.2 i 8.0.1 zawiera podatność w metodzie SetCookie::matchesDomain(), która nieprawidłowo rozpoznaje domeny w formacie szesnastkowym lub mieszanym (np. 0x7f000001) jako adresy IP. Ciasteczka ustawione dla takich domen mogą być wysyłane do innych hostów, co prowadzi do ujawnienia identyfikatorów sesji lub tokenów.
Oryginalny opis (angielski, źródło NVD)
Guzzle is an extensible PHP HTTP client. Prior to 7.12.3, CookieJar did not restrict cookies scoped to IP-address or bare-numeric Domain values to the exact host that set them, because SetCookie::matchesDomain() applied ordinary suffix matching to domains such as 192.168.0.1, [::1], or 1, allowing cross-host cookie disclosure, cookie injection, or session fixation. This issue is fixed in version 7.12.3.