CVE-2026-67353
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
guzzlehttp/guzzle przed wersją 7.15.1 zawiera podatność na odmowę usługi w CookieJar, który akceptuje nieograniczoną liczbę nagłówków Set-Cookie bez ograniczeń rozmiaru. Atakujący może zwrócić wiele dużych ciasteczek z złośliwego serwera, powodując przechowywanie nadmiernych danych w pamięci i generowanie zbyt dużych nagłówków Cookie, które zawodzą w handlerach lub serwerach docelowych.
Ocena ryzyka
Atakujący może spowodować wyczerpanie pamięci lub awarię aplikacji, co prowadzi do przerwania usług dla legalnych użytkowników.
Rekomendacja
Zaleca się aktualizację guzzlehttp/guzzle do wersji 7.15.1 lub nowszej.
Inne podatności w guzzlehttp/guzzle
Zobacz wszystkie- CVE-2026-67355Średnie
guzzlehttp/guzzle przed wersją 7.15.1 nieprawidłowo zachowuje zakres ciasteczek host-only, przechowując host żądania w polu Domain zamiast oznaczać ciasteczka jako host-only. Atakujący kontrolujący podrzędne hosty mogą otrzymać ciasteczka host-only przeznaczone tylko dla nadrzędnych hostów, co może ujawnić identyfikatory sesji i tokeny autoryzacyjne.
- CVE-2026-67354Średnie
guzzlehttp/guzzle przed wersją 7.15.1 zawiera podatność ujawnienia informacji w RedirectMiddleware. Gdy opcjonalne ustawienie allow_redirects.referer jest włączone, oprogramowanie kopiuje fragment URI (część po '#') z odsyłającego żądania do nagłówka Referer podczas przekierowania. Atakujący kontrolujący miejsce docelowe przekierowania może odczytać ten fragment, potencjalnie ujawniając jednorazowe sekrety logowania, tokeny dostępu i inne wrażliwe dane.
Oryginalny opis (angielski, źródło NVD)
guzzlehttp/guzzle versions before 7.15.1 contain a denial of service vulnerability in the CookieJar that accepts unlimited Set-Cookie header fields with no size restrictions. Attackers can return many large cookies from a malicious server, causing Guzzle to store excessive data in memory and generate oversized Cookie headers that fail in handlers or destination servers.