CVE-2022-31109

laminas-diactoros, PSR-7 HTTP mesaj interfeyslərinin və PSR-17 HTTP mesaj fabriki interfeyslərinin implementasiyalarını ehtiva edən PHP paketidir. Diactoros-dan istifadə edən və ya proksi arxasında olmayan, ya da etibarsız proksilər vasitəsilə əlçatan olan tətbiqlərdə gələn server sorğusu ilə əlaqəli `Laminas\Diactoros\Uri` nüsxəsinin host, protokol və/və ya portu `X-Forwarded-*` başlıqlarındakı dəyərləri əks etdirmək üçün dəyişdirilə bilər. Bu cür dəyişikliklər potensial olaraq XSS hücumlarına (əgər linklərdə tam kvalifikasiyalı URL istifadə olunursa) və/və ya URL zəhərlənməsinə səbəb ola bilər. `X-Forwarded-*` başlıqlarının etibarlı istifadə halları olduğundan, xüsusən yük balanslaşdırıcısı istifadə edən klaster mühitlərində, kitabxana yalnız v2 buraxılışlarında yumşaltma tədbirləri təklif edir, çünki əks halda bu istifadə halları dərhal pozulardı. 2.11.1-dən etibarən v2 buraxılışlarının istifadəçiləri `Laminas\Diactoros\ServerRequestFactory::fromGlobals()` funksiyasına `Laminas\Diactoros\RequestFilter\RequestFilterInterface` nüsxəsi şəklində əlavə arqument təqdim edə bilərlər, o cümlədən `X-Forwarded-*` başlıqlarını nəzərə almayan təqdim edilmiş `Laminas\Diactoros\RequestFilter\NoOpRequestFilter` implementasiyası. 3.0 versiyasından başlayaraq kitabxana davranışı tərsinə çevirərək standart olaraq `NoOpRequestFilter`-dən istifadə edəcək və istifadəçilərdən konfiqurasiya edilmiş `Laminas\Diactoros\RequestFilter\LegacyXForwardedHeaderFilter` nüsxəsi vasitəsilə `X-Forwarded-*` başlıqlarından istifadəyə könüllü razılıq tələb edəcək. İstifadəçilərə bu problemi həll etmək üçün 2.11.1 və ya daha sonrakı versiyaya yüksəltmə tövsiyə olunur. Yüksəltmə imkanı olmayan istifadəçilər veb serverləri veb server səviyyəsində `X-Forwarded-*` başlıqlarını rədd etmək üçün konfiqurasiya edə bilərlər.