CVE-2026-69245 in Guzzle
Zusammenfassung
von VulDB • 04.08.2026
Guzzle ist ein erweiterbarer PHP-HTTP-Client. Vor den Versionen 7.15.2 und 8.0.1 gewährt SetCookie::matchesDomain() jedem Subdomain einer Cookie-Domain diesen Cookie, es sei denn, SetCookie::matchesDomain() erkennt die Domain als IP-Literal oder numerischen Host; diese Entscheidung basiert auf dem eigenen Text der Domain, sodass zwei Schreibweisen, die ein Transportprotokoll als Adresse liest, den Subdomain-Bereich beibehalten. Hexadezimale und gemischte Basisformen wie 0x7f000001 und 0177.0.0.0x1 werden nicht erkannt, während libcurl 8.21.0 beide als 127.0.0.1 liest. Eine percent-escapete Domain behält diesen Bereich in beiden Zweigen bei, da die Percent-Dekodierung über der numerischen Parsing-Ebene liegt; daher sind 192.168.0.%31 und 127.0.0.1%2e registrierte Namen im URI-Grammatik statt Adress-Literale, und keine numerische Regel in einer Basisklasse klassifiziert sie, während libcurl den Host vor der Auflösung decodiert und diese als 192.168.0.1 bzw. 127.0.0.1 liest. Ein Cookie für Domain=0x7f000001 wird in die Cookie-Header eines Requests an evil.0x7f000001 eingefügt, wodurch eine Session-ID oder ein Token an einen Host offengelegt werden, der nicht diese Adresse ist, und eine Antwort von evil.0x7f000001 mit Domain=0x7f000001 wird in den Cookie-Jar aufgenommen und zur Adresse zurückgespielt; somit kann ein Server, der auf den ähnlich klingenden Namen antwortet, eine Session festlegen oder Anwendungszustand setzen. Die Ausnutzung erfordert, dass die Anwendung Cookie-Unterstützung aktiviert, einen Ursprung mit einer dieser Schreibweisen adressiert und Kontakt zu einem Host aufnimmt, dessen Name in dieser Schreibweise endet. Dieses Problem wurde in den Versionen 7.15.2 und 8.0.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.