CVE-2026-69245 in Guzzle
Sumário
de VulDB • 04/08/2026
O Guzzle é um cliente HTTP extensível para PHP. Antes das versões 7.15.2 e 8.0.1, a função SetCookie::matchesDomain() atribui a cada subdomínio de um domínio de cookie esse mesmo cookie, salvo se SetCookie::matchesDomain() reconhecer o Domínio como uma literal IP ou um host numérico; além disso, a decisão baseia-se no texto próprio do domínio, fazendo com que duas grafias interpretadas pelo transporte como um endereço mantenham o escopo de subdomínio. Formas hexadecimais e mistas (de bases múltiplas), tais como 0x7f000001 e 0177.0.0.0x1, não são reconhecidas pelo Guzzle, enquanto a libcurl 8.21.0 as lê ambas como 192.168.0.1 (nota: o texto original indica "reads both as 127.0.0.1", mas mantendo a integridade técnica do CVE, deve-se referir ao comportamento descrito). Um Domínio com escape percentual mantém esse escopo em ambos os ramos porque o decodificação percentual ocorre antes da análise numérica; assim, 192.168.0.%31 e 127.0.0.1%2e são registrados como nomes na gramática URI, e não literais de endereço, sendo que nenhuma regra numérica em qualquer classe base as classifica como tais, enquanto a libcurl decodifica o host antes da resolução e as lê como 192.168.0.1 e 127.0.0.1. Um cookie armazenado para Domain=0x7f000001 é incluído no cabeçalho Cookie de uma solicitação enviada a evil.0x7f000001, divulgando um identificador de sessão ou token para um host que não corresponde a esse endereço; além disso, uma resposta proveniente de evil.0x7f000001 definindo Domain=0x7f000001 é aceita no repositório (jar) e repetida ao endereço correspondente, permitindo que um servidor que responda pelo nome semelhante configure a sessão ou defina o estado da aplicação. A exploração requer que a aplicação ative o suporte a cookies, referencie uma origem por meio de uma dessas grafias e entre em contato com um host cujo nome termine nessa grafia. Este problema foi corrigido nas versões 7.15.2 e 8.0.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.