Podatności guzzlehttp/psr7

W bibliotece guzzlehttp/psr7 w wersjach przed 2.12.3 funkcja Uri::assertValidHost() nie odrzuca nieprawidłowych komponentów hosta URI, które mogą zawierać ograniczniki autorytetu, osadzone porty lub źle sformatowane nawiasy IPv6. Powoduje to, że Uri::getHost() może zwracać wartość różniącą się od rzeczywistego autorytetu URI, co może prowadzić do błędów w decyzjach bezpieczeństwa lub routingu.

Biblioteka guzzlehttp/psr7 przed wersją 2.12.1 nie odrzucała znaków CR/LF w polach linii startowej HTTP (metoda żądania, wersja protokołu, fraza przyczyny odpowiedzi). Atakujący może umieścić kontrolowane dane w tych polach, a po serializacji wiadomości PSR-7 do surowego HTTP/1.x (np. przez Message::toString()) może dojść do wstrzyknięcia nagłówków HTTP.

Biblioteka guzzlehttp/psr7 w wersjach przed 2.10.2 nie odrzucała znaków kontrolnych ASCII, białych znaków ani DEL w komponentach hosta URI. To może prowadzić do wstrzykiwania dodatkowych nagłówków przez atakującego, co stwarza ryzyko dla aplikacji korzystających z kontrolowanych przez użytkownika URL.

Biblioteka guzzlehttp/psr7 w wersjach przed 2.10.2 zawiera niewłaściwą walidację nagłówka Host, co może prowadzić do nieprawidłowego przetwarzania URI w żądaniach HTTP. Atakujący może wprowadzić złośliwy nagłówek Host, co skutkuje różnicą między oryginalną wartością a wartością URI hosta.