CVE-2022-36032
Təsvir
ReactPHP HTTP, ReactPHP üçün axınlı HTTP klient və server tətbiqidir. ReactPHP-nin 0.7.0 versiyasından başlayaraq 1.7.0 versiyasına qədər olan HTTP server komponentində, daxil olan HTTP cookie dəyərləri emal edilərkən cookie adları url-decode edilir. Bu, `__Host-` və `__Secure-` kimi prefikslərə malik cookielərin həmin prefikslərə dekod olunan cookielərlə qarışdırılmasına səbəb ola bilər ki, bu da hücumçunun təhlükəsiz olması gözlənilən cookie-ni saxtalaşdırmasına imkan verir. Bu problem ReactPHP HTTP-nin 1.7.0 versiyasında düzəldilib. Müvəqqəti həll yolu kimi İnfrastruktur və ya DevOps mütəxəssisləri istənilməyən `Cookie` sorğu başlıqlarını filtrləmək üçün ReactPHP HTTP serverinin qarşısına reverse proxy yerləşdirə bilərlər.
Necə düzəltmək olar
- reactphp http1.7.0 və ya daha yeni versiya
- react/http1.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| reactphp http | 0.7.0 ≤ v < 1.7.0 | 1.7.0 |
| react/httpPackagist | 0.7.0 ≤ v < 1.7.0 | 1.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.