"CookieJar" não restringe um cookie com um endereço IP ao host exato que o definiu. Quando um atributo `Domain` de um cookie armazenado é um IPv 4 literal (`Dominou= 192.168.0.1 `), um IPv entre corchetes 6 Literal (`Domain=[: 1 ]`), ou um valor numérico descarado que denota um IPv 4 endereço (`Dominou= 1 `, que é ` 0.0.0.1 `), ` SetCookie::matchesDomain()` aplica o subdomínio ordinário (suffix) correspondente a ele em vez de exigir um hospedeiro exato. A verificação do endereço IP dentro do `matchesDomain()` é aplicada apenas ao hospedeiro do pedido e nunca ao próprio domínio do cookie, e os cookies de resposta que carregam um atributo `Domain' explícito são armazenados como compatíveis com sufixo. Como resultado, o Guzzle envia um cookie para qualquer hospedeiro cujo nome termina nesse valor como um rótulo de rastreamento, por exemplo, enviando um `Dominou= 192.168.0.1 ` cookie para ` mal. 192.168.0.1 `, ou um `Dominou= 1 ` cookie para ` mal. 1 `. A mesma falha permite que um host parecida guarde um cookie que o Guzzle então envia para o endereço IP nu. Dependendo de como o serviço de recepção interpreta o cookie, o impacto é a divulgação de cookies de hospedeiro cruzado, injeção de cookies ou fixação de sessão. Você é afetado se seu aplicativo usar o suporte de cookies do Guzzle, por exemplo `novo cliente(['cookies' => true]' ou um `CookieJar' explícito, reutiliza um frasco de cookies em mais de um hospedeiro ou limite de confiança, e aquele frasco pode segurar um cookie com um endereço IP ou um hospedeiro nulo. Para realmente vazar um cookie, o aplicativo também deve resolver e conectar- se a um host parecido cujo nome termina na etiqueta do endereço IP, como ` mal. 192.168.0.1 `. Tais nomes não são publicamente registráveis, por isso, na prática, um atacante precisa de alguma influência sobre a resolução de nomes, o que é realista nas redes privadas, de horizons divididos, de container ou de desenvolvimento. Você não será afetado se não usar o suporte de cookies do Guzzle, se você usar um frasco de cookies separado por hospedeiro ou limite de confiança, ou se seus frascos nunca segurarem cookies com o objetivo de endereço IP ou hospedeiros nulos. Este problema é independente da validação da lista de sufixos públicos. Por RFC 6265, um domínio de cookie de endereço IP deve coincidir apenas com o host exato que o definiu e nunca deve coincidir com um subdomínio.

O problema é corrigido em ` 7.12.3 " e depois. Começando com essa versão, o Guzzle combina com um IPv 4 literal, um IPv entre parênteses 6 literal, ou um cookie nu numérica `Domain` somente contra o hospedeiro exato de solicitação, e não mais aplica sufixo de subdomínio correspondente a eles. Se você não puder atualizar imediatamente, não reutilize uma instância `CookieJar` em origens não confiáveis e confiáveis. Use um frasco de cookies separado por host ou contorno de confiança, ou desabilita o gerenciamento de cookies para solicitações para hosts não confiados, e evite esconder cookies para endereço IP ou hosts nus. Em particular, evite `novo cliente(['cookies' => true]' para qualquer cliente que possa entrar em contato com hosts não relacionados em diferentes níveis de confiança, porque essa opção cria um único frasco compartilhado para todo o cliente.

* 6265 # seção- 5.1.3 * 6265 # seção- 5.3 * 4 -parser Registro de aconselhamento: GHSA- g 446 - 98 w 2 - 8 p 5 w. Identificadores relacionados: CVE- 2026 - 59883.

Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 20 T 22: 00: 09.000 Z e lista a sua última modificação como 2026 - 07 - 20 T 22: 00: 09.000 Z.

Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N.

Software afetado e informações de versão: pacote Packagist guzzlehttp/ guzzle — ECOSISTEM: introduzido 0, corrigido 7.12.3.

Classificação e evidência: identificadores de fraqueza CWE- 200, CWE- 346, CWE- 384. O registro contém 6 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.