CVE-2026-55766

guzzlehttp/psr7, PHP dilində yazılmış PSR-7 HTTP mesaj kitabxanası tətbiqidir. 2.12.1 versiyasından əvvəl guzzlehttp/psr7 bəzi birinci tərəf HTTP başlanğıc sətir sahələrindəki (request method, protocol version və response reason phrase) CR/LF simvollarını rədd etmirdi. Əgər bir tətbiq hücumçu tərəfindən idarə olunan məlumatları bu sahələrdən birinə yerləşdirsə və daha sonra PSR-7 mesajını xammal HTTP/1.x kimi seriyallaşdırsa (məsələn, Message::toString() və ya ekvivalent seriyallaşdırıcı ilə), seriyallaşdırılmış mesaj hücumçunun idarə etdiyi başlıq sətirləri ehtiva edə bilərdi. Bu problem həmçinin yanlış formatlanmış xammal mesajlar birinci tərəf PSR-7 obyektlərinə çevrildikdə və sonra yenidən seriyallaşdırıldıqda Message::parseRequest() və ya Message::parseResponse() vasitəsilə də yarana bilər. Yalnız Request, Response və ya digər PSR-7 obyektini yaratmaq və ya dəyişdirmək kifayət deyil. Problemin yaranması üçün yanlış formatlanmış mesajın seriyallaşdırılması və şəbəkəyə yazılması, yönləndirilməsi, təkrarlanması və ya yanlış formatlanmış başlanğıc sətiri müstəqil şəkildə rədd etməyən proqram təminatı tərəfindən emal edilməsi tələb olunur. Bu zəiflik 2.12.1 versiyasında aradan qaldırılıb.