CVE-2022-24775: falha de alta gravidade em guzzle psr7
Improper Input Validation in guzzlehttp/psr7
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
A biblioteca guzzlehttp/psr7 não valida adequadamente headers HTTP, permitindo que invasores injetem caracteres de quebra de linha e valores maliciosos nos headers. Isso pode ser explorado para ataques de injeção HTTP que comprometem a integridade das requisições.
A vulnerabilidade está na lógica de parsing de headers que falha em sanitizar caracteres de nova linha (CWE-20: Validação Imprópria de Entrada). Um invasor pode injetar headers arbitrários ao incorporar sequências CRLF nos valores de headers, potencialmente viabilizando ataques de injeção HTTP. Corrigida nas versões 1.8.4 e 2.1.1.
No mesmo produto, das mais perigosas para as menos.