Podatności Guzzle
3 znanych podatności CVE w Guzzle, przetłumaczonych i ocenionych.
- CVE-2026-69246Wysokie
Guzzle, rozszerzalny klient HTTP w PHP, przed wersjami 7.15.2 i 8.0.1, zawiera podatność polegającą na rozbieżności między parsowaniem URI przez Guzzle a libcurl. Atakujący, który wpływa na URI żądania, może ominąć sprawdzenia aplikacji i uzyskać dostęp do hostów, które powinny być zablokowane. Problem naprawiono w wersjach 7.15.2 i 8.0.1.
- CVE-2026-69245Średnie
Guzzle przed wersjami 7.15.2 i 8.0.1 zawiera podatność w metodzie SetCookie::matchesDomain(), która nieprawidłowo rozpoznaje domeny w formacie szesnastkowym lub mieszanym (np. 0x7f000001) jako adresy IP. Ciasteczka ustawione dla takich domen mogą być wysyłane do innych hostów, co prowadzi do ujawnienia identyfikatorów sesji lub tokenów.
- CVE-2026-59883Średnie
W bibliotece Guille (PHP HTTP client) w wersjach przed 7.12.3 wykryto podatność w klasie CookieJar. Mechanizm dopasowywania domen w metodzie SetCookie::matchesDomain() nieprawidłowo traktował adresy IP (np. 192.168.0.1, [::1]) oraz wartości numeryczne jako domeny, stosując zwykłe dopasowanie sufiksów, co umożliwiało wyciek ciasteczek między hostami, wstrzykiwanie ciasteczek lub fiksację sesji.