CVE-2022-31109

laminas-diactoros, PSR-7 HTTP mesaj arayüzleri ve PSR-17 HTTP mesaj fabrikası arayüzlerinin uygulamalarını içeren bir PHP paketidir. Diactoros kullanan ve ya bir proxy arkasında olmayan ya da güvenilmeyen proxyler aracılığıyla erişilebilen uygulamalarda, gelen sunucu isteği ile ilişkili bir `Laminas\Diactoros\Uri` örneğinin ana bilgisayarı (host), protokolü ve/veya portu, `X-Forwarded-*` başlıklarındaki değerleri yansıtacak şekilde potansiyel olarak değiştirilebilir. Bu tür değişiklikler, potansiyel olarak XSS saldırılarına (bağlantılarda tam nitelikli bir URL kullanılıyorsa) ve/veya URL zehirlemesine yol açabilir. `X-Forwarded-*` başlıklarının, özellikle yük dengeleyici kullanan kümelenmiş ortamlarda geçerli kullanım durumları olduğundan, kütüphane hafifletme önlemlerini yalnızca v2 sürümlerinde sunmaktadır; aksi takdirde bu kullanım durumları anında bozulacaktır. 2.11.1 sürümünden itibaren v2 kullanıcıları, `Laminas\Diactoros\ServerRequestFactory::fromGlobals()` fonksiyonuna, `X-Forwarded-*` başlıklarını görmezden gelen mevcut `Laminas\Diactoros\RequestFilter\NoOpRequestFilter` uygulaması da dahil olmak üzere, bir `Laminas\Diactoros\RequestFilter\RequestFilterInterface` örneği şeklinde ek bir argüman sağlayabilirler. Sürüm 3.0'dan itibaren kütüphane, varsayılan olarak `NoOpRequestFilter` kullanacak şekilde davranışı tersine çevirecek ve kullanıcıların yapılandırılmış bir `Laminas\Diactoros\RequestFilter\LegacyXForwardedHeaderFilter` örneği aracılığıyla `X-Forwarded-*` başlığı kullanımını açıkça seçmelerini gerektirecektir. Kullanıcıların bu sorunu çözmek için 2.11.1 veya daha yeni bir sürüme yükseltmeleri önerilir. Yükseltme yapamayan kullanıcılar, web sunucularını `X-Forwarded-*` başlıklarını web sunucusu düzeyinde reddedecek şekilde yapılandırabilirler.