CVE-2026-48998

guzzlehttp/psr7, PHP dilinde bir PSR-7 HTTP mesaj kütüphanesi uygulamasıdır. 2.10.2 öncesindeki sürümler, ham HTTP istek mesajlarını ayrıştırırken ve sunucu değişkenlerinden bir sunucu istek URI'si türetirken hatalı Host başlığı doğrulaması içermektedir. Bir saldırgan, `[email protected]` gibi URI yetki sınırlayıcıları içeren kötü biçimlendirilmiş bir Host başlığı sağlayabilir. Host değeri bir URI oluşturmak için kullanıldığında, kötü biçimlendirilmiş değer URI kullanıcı bilgisi (userinfo) ve ana bilgisayar (host) olarak yeniden yorumlanabilir. Bu durum, PSR-7 istek URI ana bilgisayarının orijinal Host başlığı değerinden farklı olmasına neden olabilir. Uygulamalar; saldırgan tarafından kontrol edilen ham HTTP isteklerini `GuzzleHttp\Psr7\Message::parseRequest()` veya eski 1.x `GuzzleHttp\Psr7\parse_request()` fonksiyonu ile ayrıştırdıklarında ya da saldırgan tarafından kontrol edilen sunucu değişkenlerinden sunucu istekleri oluşturup ardından yönlendirme, izin listesi kontrolleri veya iletme kararları için sonuçlanan URI ana bilgisayarına güvendiklerinde etkilenirler. Etkilenen iletme veya ağ geçidi senaryolarında bu durum, isteklerin veya kimlik bilgilerinin istenmeyen bir ana bilgisayara gönderilmesine neden olabilir. Sorun `2.10.2` sürümünde düzeltilmiştir. `1.x` sürümünün ömrü dolmuştur ve yama almayacaktır. Bazı geçici çözümler mevcuttur. Güvenilmeyen HTTP istek verileri üzerinde `Message::parseRequest()` veya eski `parse_request()` fonksiyonunu çağırmadan önce veya ayrıştırılmış bir istek URI'sinden yönlendirme ve iletme kararları türetmeden önce `Host` başlığını `uri-host [ ":" port ]` şeklinde doğrulayın. Kullanıcı bilgisi, yol, sorgu veya fragman sınırlayıcıları içeren Host değerlerini reddedin.