CVE-2026-48998

guzzlehttp/psr7, PHP dilində yazılmış PSR-7 HTTP mesaj kitabxanası tətbiqidir. 2.10.2 versiyasından əvvəlki versiyalarda, xam HTTP sorğu mesajları təhlil edilərkən və server dəyişənlərindən server sorğu URI-si törədildikdə Host başlığının yanlış yoxlanılması problemi mövcuddur. Hücumçu `[email protected]` kimi URI səlahiyyət ayırıcısını ehtiva edən yanlış formatlı Host başlığı təqdim edə bilər. Host dəyəri URI qurmaq üçün istifadə edildikdə, bu yanlış dəyər URI userinfo və host kimi yenidən şərh oluna bilər. Bu, PSR-7 sorğu URI hostunun orijinal Host başlığı dəyərindən fərqli olmasına səbəb ola bilər. Tətbiqlər hücumçunun nəzarət etdiyi xam HTTP sorğularını `GuzzleHttp\Psr7\Message::parseRequest()` və ya köhnə 1.x `GuzzleHttp\Psr7\parse_request()` funksiyası ilə təhlil etdikdə və ya hücumçunun nəzarət etdiyi server dəyişənlərindən server sorğuları yaratdıqda, daha sonra marşrutlaşdırma, ağ siyahı (allow-list) yoxlamaları və ya yönləndirmə qərarları üçün nəticəvi URI hostuna güvəndikdə risk altında olurlar. Təsirə məruz qalan yönləndirmə və ya şlüz ssenarilərində bu, sorğuların və ya kimlik məlumatlarının qeyri-istehsalı bir hosta göndərilməsinə səbəb ola bilər. Problem `2.10.2` versiyasında aradan qaldırılıb. `1.x` versiyasının dəstəklənmə müddəti bitib və onun üçün yamama təmin edilməyəcək. Bəzi alternativ həll yolları mövcuddur. Etibarsız HTTP sorğu məlumatları üzərində `Message::parseRequest()` və ya köhnə `parse_request()` funksiyasını çağırmazdan əvvəl və ya təhlil edilmiş sorğu URI-sindən marşrutlaşdırma və yönləndirmə qərarlarını törətməzdən əvvəl `Host` başlığını `uri-host [ ":" port ]` kimi yoxlayın. Userinfo, yol (path), sorğu (query) və ya fraqment ayırıcılarını ehtiva edən Host dəyərlərini rədd edin.