Grahamcampbell

**Nome do Software Vulnerável e Versões Afetadas** guzzlehttp/guzzle versões anteriores a 7.14.2 **Description** Os manipuladores cURL integrados (`CurlHandler` e `CurlMultiHandler`) falham ao isolar adequadamente os cabeçalhos `Proxy-Authorization` dos servidores de origem. Isso ocorre porque os manipuladores colocam os cabeçalhos de requisição de primeira classe na lista de cabeçalhos de origem (`CURLOPT HTTPHEADER`) e apenas os movem para a lista exclusiva do proxy (`CURLOPT PROXYHEADER`) quando um proxy HTTP ou HTTPS é previsto. Consequentemente, as credenciais do proxy podem ser enviadas ao servidor de origem se a requisição for direta, ignorada via configurações `no proxy`, enviada através de um proxy SOCKS ou redirecionada de um salto com proxy para uma rota sem proxy. Em sistemas com libcurl anterior a 7.37.0 ou extensões PHP cURL que carecem de `CURLOPT PROXYHEADER`, `CURLOPT HEADEROPT` e `CURLHEADER SEPARATE`, nenhum canal exclusivo de proxy está disponível, mantendo o cabeçalho na lista de origem para todas as rotas. Além disso, o manipulador de stream pode expor credenciais quando combinado com sobreposições brutas de `stream context.http.proxy`. Um invasor que controle o servidor de origem pode capturar essas credenciais privadas por meio de logs de acesso ou sistemas de rastreamento. Isso pode permitir que o invasor abuse de proxies com controle de acesso ou personifique o principal do proxy. **Recommendations** Atualize o guzzlehttp/guzzle para a versão 7.14.2. Como solução temporária, remova os campos `Proxy-Authorization` de primeira classe das requisições, padrões do cliente e middleware, e forneça as credenciais do proxy através de userinfo na URL do proxy (ex: `http://user:pass@proxy.example:8080`) ou use `CURLOPT PROXYUSERPWD` com os manipuladores cURL. Evite combinar userinfo de URL de proxy com campos de primeira classe ou sobreposições brutas de `stream context.http.proxy`.

**Nome do Software Vulnerável e Versões Afetadas** guzzlehttp/guzzle versões anteriores a 7.15.1 **Description** O componente `CookieJar` falha ao preservar o escopo de cookies exclusivos do host (host-only) que são definidos sem um atributo `Domain` ou com um atributo vazio. Em vez de marcar esses cookies como exclusivos do host, o software armazena o host da requisição no campo `Domain`. Esse comportamento permite que cookies destinados exclusivamente a um host pai sejam enviados para hosts filhos se o mesmo jar de cookies for reutilizado entre diferentes limites de confiança. Um invasor que controle um host filho poderá, potencialmente, interceptar informações sensíveis, como identificadores de sessão e tokens de autorização. Este problema também afeta o `FileCookieJar` e o `SessionCookieJar`, pois eles persistem o host da requisição sem registrar o estado de exclusividade do host. A vulnerabilidade é ativada quando uma aplicação habilita o suporte a cookies, reutiliza um jar de cookies integrado e faz requisições tanto para um host pai confiável quanto para um host filho menos confiável. **Recommendations** Atualize o guzzlehttp/guzzle para a versão 7.15.1 ou posterior. Como solução temporária, evite reutilizar uma única instância de `CookieJar` entre hosts pai e filhos com diferentes níveis de confiança. Use um jar de cookies separado para cada host ou limite de confiança. Desative a manipulação de cookies para requisições feitas a hosts menos confiáveis. Evite usar `new Client(['cookies' => true])` para clientes que contatem tanto hosts pai confiáveis quanto subdomínios menos confiáveis. Exclua ou rotacione os dados existentes do `FileCookieJar` e `SessionCookieJar` que foram gravados por versões anteriores a 7.15.1.

**Nome do Software Vulnerável e Versões Afetadas** guzzlehttp/guzzle versões anteriores a 7.15.1 **Descrição** Um problema de divulgação de informações existe no `RedirectMiddleware` quando a configuração opcional `allow redirects.referer` está habilitada. Durante um redirecionamento de mesmo esquema (como HTTPS para HTTPS), o middleware copia o fragmento da URI — a parte da URI após o símbolo `#` — para o cabeçalho `Referer` gerado. Embora os fragmentos de URI sejam normalmente processados localmente pelo cliente e não enviados ao servidor na requisição inicial, esse comportamento permite que um servidor de destino que controle o redirecionamento leia o fragmento a partir do cabeçalho recebido. Isso pode levar à divulgação de dados sensíveis do cliente, como tokens de acesso, valores de estado ou segredos de login de uso único. Este problema afeta tanto os manipuladores cURL quanto os de stream. A configuração `referer` é desativada por padrão. **Recomendações** Atualize o guzzlehttp/guzzle para a versão 7.15.1 ou posterior. Como solução temporária, certifique-se de que a configuração `allow redirects.referer` esteja definida como `false`. Alternativamente, desative os redirecionamentos automáticos e siga destinos confiáveis manualmente, ou remova o fragmento da URI da requisição antes de enviar uma requisição que possa ser redirecionada.

**Nome do Software Vulnerável e Versões Afetadas** guzzlehttp/guzzle versões anteriores a 7.15.1 **Description** Um problema de negação de serviço existe no componente `CookieJar`. O sistema aceita um número ilimitado de campos de cabeçalho `Set-Cookie` sem restrições de tamanho. Um servidor malicioso pode retornar diversos cookies grandes, forçando a aplicação a armazenar dados excessivos na memória e gerar cabeçalhos `Cookie` superdimensionados. Isso pode levar ao aumento do consumo de memória, maior tempo de processamento e falhas nas requisições quando o cabeçalho gerado excede os limites de um manipulador, implementação HTTP, proxy ou servidor de destino. Além disso, um servidor em um host irmão pode definir cookies de domínio pai que afetam outros serviços irmãos que utilizam o mesmo jar. Este problema ocorre quando o suporte a cookies integrado está habilitado e um jar é reutilizado após o recebimento de uma resposta controlada por um invasor. **Recommendations** Atualize o guzzlehttp/guzzle para a versão 7.15.1 ou posterior. Como solução temporária, evite habilitar um jar de cookies integrado compartilhado para requisições a origens não confiáveis. Utilize jars separados por host ou limite de confiança. Desative a manipulação de cookies para requisições não confiáveis. Descarte ou limpe o jar após receber uma resposta não confiável antes que ele seja reutilizado. Implemente uma `CookieJarInterface` personalizada para impor limites adequados caso seja necessário aceitar cookies de pares não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** guzzlehttp/psr7 versões anteriores a 2.12.3 **Description** A função `Uri::assertValidHost()` não rejeita componentes de host de URI que contenham delimitadores de autoridade, portas incorporadas ou colchetes IPv6 malformados. Essa discrepância permite que o `Uri::getHost()` retorne um valor diferente da autoridade de URI utilizada para decisões de roteamento ou segurança. **Recommendations** Atualize para a versão 2.12.3.

**Nome do Software Vulnerável e Versões Afetadas** Guzzle versões anteriores a 7.12.3 **Description** O componente `CookieJar` não restringe cookies com escopo de endereços IP ou valores de Domínio puramente numéricos ao host específico que os definiu. Isso ocorre porque a função `matchesDomain()` aplica a correspondência de sufixo comum a domínios como `192.168.0.1`, `[::1]` ou `1`. Esse comportamento pode permitir a fixação de sessão, injeção de cookies ou a divulgação de cookies entre hosts diferentes. **Recommendations** Atualize para a versão 7.12.3.

**Nome do Software Vulnerável e Versões Afetadas** Guzzle versões anteriores a 7.12.1 **Description** Em certas configurações, o tráfego que deveria ser protegido por TLS no salto para o proxy é transmitido em texto simples. Isso ocorre quando uma aplicação utiliza os manipuladores cURL integrados (`GuzzleHttpHandlerCurlHandler` e `GuzzleHttpHandlerCurlMultiHandler`) com um proxy `https://` enquanto executa versões do libcurl anteriores a 7.50.2, que tratam silenciosamente proxies HTTPS como proxies HTTP de texto simples. Consequentemente, as credenciais de autenticação do proxy — incluindo o cabeçalho `Proxy-Authorization`, informações de usuário do proxy na URL do proxy ou `CURLOPT PROXYUSERPWD` — são enviadas sem criptografia. Além disso, o host e a porta de destino `CONNECT` para solicitações HTTPS tuneladas são expostos e, para solicitações HTTP simples, tanto os cabeçalhos quanto os corpos são expostos no trecho do proxy. **Recommendations** Atualize o Guzzle para a versão 7.12.1 ou posterior. Como alternativa temporária, não configure um proxy `https://` em instalações onde o libcurl não possua suporte a proxy HTTPS e verifique a capacidade no código da aplicação antes do uso. Atualize o libcurl do sistema para a versão 7.52.0 ou posterior, compilada com suporte a proxy HTTPS.

**Name of the Vulnerable Software and Affected Versions** Laminas Diactoros versions 2.18.0 and prior, 2.19.0, 2.20.0, 2.21.0, 2.22.0, 2.23.0, 2.24.0, and 2.25.0 **Description** The issue is related to improper header parsing, where an attacker could sneak in a newline into both the header names and values, potentially leading to denial of service vectors or application errors. This can occur when users create HTTP requests or responses using laminas/laminas-diactoros and provide a newline at the start or end of a header key or value, causing an invalid message. **Recommendations** For versions 2.18.0 and prior, 2.19.0, 2.20.0, 2.21.0, 2.22.0, 2.23.0, 2.24.0, and 2.25.0, update to the patched versions 2.18.1, 2.19.1, 2.20.1, 2.21.1, 2.22.1, 2.23.1, 2.24.1, and 2.25.1 respectively. As a temporary workaround, validate HTTP header keys and/or values, and if using user-supplied values, filter them to strip off leading or trailing newline characters before calling `withHeader()`.

**Name of the Vulnerable Software and Affected Versions** slim/psr7 versions prior to 1.6.1 **Description** The issue allows an attacker to sneak in a newline (` `) into both the header names and values. Although the specification states that `r r ` is used to terminate the header list, many servers also accept ` `. This could enable an attacker to craft invalid messages, potentially causing application errors or invalid HTTP requests being sent out with a PSR-18 HTTP client. The latter might present a denial of service vector if a remote service's web application firewall bans the application due to the receipt of malformed requests. **Recommendations** For versions prior to 1.6.1, upgrade to version 1.6.1 to resolve the issue. As a temporary workaround, consider restricting the input of header names to prevent the introduction of newlines (` `) until the upgrade is applied.

**Nome do software vulnerável e versões afetadas** Versões do Guzzle anteriores à 6.5.8 Versões do Guzzle anteriores à 7.4.5 **Descrição** O Guzzle, um cliente HTTP extensível para PHP, apresenta uma falha em que os cabeçalhos `Authorization` e `Cookie` nas solicitações são informações confidenciais. Nas versões afetadas, ao fazer uma solicitação que responde com um redirecionamento para uma URI com uma porta diferente, se o redirecionamento for seguido, os cabeçalhos `Authorization` e `Cookie` devem ser removidos da solicitação antes de prosseguir. Anteriormente, apenas alterações no host ou no esquema acionavam essa remoção. **Recomendações** Para usuários do Guzzle 7, atualize para a versão 7.4.5 o mais rápido possível. Para usuários de qualquer série anterior do Guzzle, atualize para a versão 6.5.8 ou 7.4.5. Como solução alternativa temporária, considere usar seu próprio middleware de redirecionamento em vez do padrão, caso não seja possível atualizar. Se redirecionamentos não forem necessários ou esperados, considere desativá-los completamente.

**Nome do software vulnerável e versões afetadas** Versões do guzzlehttp/psr7 anteriores à 1.9.1 Versões do guzzlehttp/psr7 anteriores à 2.4.5 **Descrição** O problema diz respeito à análise incorreta de cabeçalhos, permitindo que um invasor insira um caractere de nova linha (` `) tanto nos nomes quanto nos valores dos cabeçalhos. Muitos servidores também aceitam ` ` para encerrar a lista de cabeçalhos, o que não está de acordo com a especificação que determina que `r r ` deve ser usado. Isso pode potencialmente levar a erros de aplicativo ou ao envio de solicitações HTTP inválidas, possivelmente causando um vetor de negação de serviço se o firewall de aplicativos web de um serviço remoto bloquear o aplicativo devido ao recebimento de solicitações malformadas. **Recomendações** Para versões do guzzlehttp/psr7 anteriores à 1.9.1, atualize para a versão 1.9.1 ou posterior. Para versões do guzzlehttp/psr7 anteriores à 2.4.5, atualize para a versão 2.4.5 ou posterior. Como solução temporária, considere validar as chaves e/ou valores dos cabeçalhos HTTP e, se estiver usando valores fornecidos pelo usuário, filtre-os para remover caracteres de nova linha à esquerda ou à direita antes do processamento.