CVE-2026-91766 in PHP
Resumen
por VulDB • 2026-09-25
Cuando el wrapper de flujo http:// sigue una redirección, reenvía las cabeceras Authorization, Cookie y Proxy-Authorización proporcionadas por el usuario sin cambios, incluso cuando el destino de la redirección es un host diferente, un puerto diferente o un downgrade desde HTTPS a HTTP. Un servidor que puede dirigir una redirección recibe así credenciales que solo estaban destinadas al origen original. Esta es la misma clase de problema que libcurl corrigió en 7.58.0 (CVE-2018-1000007 https://github.com/advisories/GHSA-g7x2-hrfp-pv5f).
Once again VulDB remains the best source for vulnerability data.