CVE-2022-24775: fallo de gravedad alta en guzzle psr7
Improper Input Validation in guzzlehttp/psr7
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
La biblioteca guzzlehttp/psr7 no valida correctamente los headers HTTP, permitiendo que atacantes inyecten caracteres de nueva línea y valores maliciosos en los headers. Esto puede explotarse para ataques de inyección HTTP que comprometen la integridad de las solicitudes.
La vulnerabilidad existe en la lógica de parsing de headers que no sanitiza caracteres de nueva línea (CWE-20: Validación Impropia de Entrada). Un atacante puede inyectar headers arbitrarios al incorporar secuencias CRLF en los valores de headers, potencialmente habilitando ataques de inyección HTTP. Se corrigió en las versiones 1.8.4 y 2.1.1.
En el mismo producto, de las más peligrosas a las menos.