CVE-2026-69245 in Guzzle
Resumen
por VulDB • 2026-08-04
Guzzle es un cliente HTTP extensible para PHP. Antes de las versiones 7.15.2 y 8.0.1, SetCookie::matchesDomain() asigna a cada subdominio del dominio de una cookie esa misma cookie, siempre que SetCookie::matchesDomain() no reconozca el dominio como una literal IP o un host numérico; la decisión se basa en el texto propio del dominio, por lo que dos formas distintas de escribirlo que un transporte interpreta como una dirección mantienen el alcance del subdominio. Las formas hexadecimales y mixtas (por ejemplo, 0x7f000001 y 0177.0.0.0x1) no son reconocidas por Guzzle, mientras que libcurl 8.21.0 las lee ambas como 127.0.0.1. Un dominio con escape de porcentaje (%-escaped Domain) mantiene ese alcance en ambos casos porque la decodificación percentual se sitúa antes del análisis numérico; así, 192.168.0.%31 y 127.0.0.1%2e se consideran nombres registrados según la gramática URI en lugar de literales de dirección, por lo que ninguna regla numérica de las clases base los clasifica como tales, mientras que libcurl decodifica el host antes de resolverlo y los lee como 192.168.0.1 y 127.0.0.1. Una cookie almacenada para Domain=0x7f000001 se incluye en la cabecera Cookie de una solicitud dirigida a evil.0x7f000001, revelando un identificador o token de sesión a un host que no es esa dirección; además, una respuesta desde evil.0x7f000001 con Domain=0x7f000001 se acepta en el almacén (jar) y se reenvía a la dirección correspondiente, por lo que un servidor que responda al nombre similar puede fijar una sesión o establecer estado de aplicación. La explotación requiere que la aplicación habilite el soporte para cookies, dirija la solicitud a un origen utilizando alguna de estas formas escritas y contacte con un host cuyo nombre termine en esa forma escrita. Este problema está corregido en las versiones 7.15.2 y 8.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.