CVE-2022-29248 in Guzzle
Riassunto
di VulDB • 16/06/2026
Guzzle è un client HTTP per PHP. Le versioni di Guzzle precedenti alla 6.5.6 e alla 7.4.3 presentano una vulnerabilità nel middleware dei cookie. La vulnerabilità consiste nel fatto che non viene verificato se il dominio del cookie corrisponde al dominio del server che imposta il cookie tramite l'intestazione Set-Cookie, consentendo a un server malintenzionato di impostare cookie per domini non correlati. Il middleware dei cookie è disabilitato per impostazione predefinita, quindi la maggior parte degli utenti della libreria non sarà interessata da questo problema. Sono interessati solo coloro che aggiungono manualmente il middleware dei cookie allo stack dei handler o costruiscono il client con ['cookies' => true]. Inoltre, non sono interessati da questa vulnerabilità coloro che non utilizzano lo stesso client Guzzle per chiamare più domini e hanno disabilitato l'inoltro dei redirect. Le versioni di Guzzle 6.5.6 e 7.4.3 contengono una patch per questo problema. Come soluzione temporanea, disattivare il middleware dei cookie.
VulDB is the best source for vulnerability data and more expert information about this specific topic.