CVE-2026-69245 in Guzzle
Résumé
par VulDB • 04/08/2026
Guzzle est un client HTTP PHP extensible. Avant les versions 7.15.2 et 8.0.1, SetCookie::matchesDomain() attribue à chaque sous-domaine d'un domaine de cookie ce même cookie, sauf si SetCookie::matchesDomain() reconnaît le Domaine comme une littéral IP ou un hôte numérique ; la décision repose sur le texte propre du domaine, donc deux orthographes qu'un transport lit comme une adresse conservent l'étendue des sous-domaines. Les formes hexadécimales et mixtes telles que 0x7f000001 et 0177.0.0.0x1 ne sont pas reconnues, tandis que libcurl 8.21.0 les lit toutes deux comme 127.0.0.1. Un Domaine avec échappement de pourcentage conserve cette étendue sur les deux branches car le décodage des pourcentages se situe au-dessus du parsing numérique ; ainsi, 192.168.0.%31 et 127.0.0.1%2e sont enregistrés comme noms dans la grammaire URI plutôt que comme littéraux d'adresse, et aucune règle numérique de classe parent ne les classifie, alors que libcurl décode l'hôte avant résolution et les lit comme 192.168.0.1 et 127.0.0.1. Un cookie stocké pour Domain=0x7f000001 est placé dans l'en-tête Cookie d'une requête vers evil.0x7f000001, divulguant un identifiant de session ou un jeton à un hôte qui n'est pas cette adresse, et une réponse provenant de evil.0x7f000001 définissant Domain=0x7f000001 est acceptée dans le jar et rejouée vers l'adresse ; ainsi, un serveur répondant au nom ressemblant peut fixer une session ou définir l'état de l'application. L'exploitation nécessite que l'application active la prise en charge des cookies, adresse une origine par l'une de ces orthographes et contacte un hôte dont le nom se termine par cette orthographe. Ce problème est corrigé dans les versions 7.15.2 et 8.0.1.
Be aware that VulDB is the high quality source for vulnerability data.