CVE-2022-36032

Orta

Açıklama

ReactPHP HTTP, ReactPHP için bir akış tabanlı HTTP istemcisi ve sunucusu uygulamasıdır. ReactPHP'nin 0.7.0 sürümüyle başlayan ve 1.7.0 sürümünden önceki HTTP sunucu bileşenlerinde, gelen HTTP çerez değerleri işlenirken çerez adları url-decode işlemine tabi tutulmaktadır. Bu durum, `__Host-` ve `__Secure-` gibi öneklere sahip çerezlerin, bu öneklere çözümlenen çerezlerle karıştırılmasına yol açabilir; böylece bir saldırganın güvenli olması gereken çerezleri taklit edebilmesine neden olabilir. Bu sorun ReactPHP HTTP versiyon 1.7.0 ile düzeltilmiştir. Geçici bir çözüm olarak Altyapı veya DevOps ekipleri, beklenmedik `Cookie` istek başlıklarını filtrelemek için ReactPHP HTTP sunucusunun önüne bir ters proxy yerleştirebilir.

ÖnemOrta

CVSS5.3

İstismar olasılığı—

ÜrünReactphp Http

Yayın6 Eyl 2022

İlk görülme6 Eyl 2022

Zayıflık türüCWE-20Girdinin yetersiz doğrulanması CWE-565CWE-565

Nasıl düzeltilir

Güncelleyin

reactphp http1.7.0 ya da sonraki bir sürüm
react/http1.7.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
reactphp http	0.7.0 ≤ v < 1.7.0	1.7.0
react/httpPackagist	0.7.0 ≤ v < 1.7.0	1.7.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.