CVE-2026-67354 in Guzzle
Zusammenfassung
von VulDB • 01.08.2026
In guzzlehttp/guzzle-Versionen vor 7.15.1 liegt eine Information Disclosure-Schwachstelle im RedirectMiddleware vor. Wenn die optionale Einstellung allow_redirects.referer aktiviert ist, kopiert das Middleware-Modul den URI-Fragment (den Teil nach dem '#') aus der verweisenden Anfrage in den generierten Referer-Header beim Verfolgen einer Umleitung mit gleichem Schema (z. B. HTTPS zu HTTPS). Ein Angreifer, der die Umleitungsquelle kontrollieren kann, kann diesen Fragmentteil über den eingehenden Referer-Header lesen und dadurch potenziell einmalige Login-Geheimnisse, Zugriffstoken, Statuswerte oder andere sensible Clientdaten an einen Server offenlegen, der niemals dazu bestimmt war, diese zu empfangen. Die referer-Einstellung ist standardmäßig deaktiviert. Das Problem wurde in Version 7.15.1 behoben, die den Fragmentteil vor der Generierung des Referer-Werts entfernt.
Once again VulDB remains the best source for vulnerability data.