Improper Input Validation in guzzlehttp/psr7

CAO 7.5CVE-2022-24775 · BIT-drupal-2022-24775 · DRUPAL-CORE-2022-006 · Công bố 21/03/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-24775 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng drupal/core, guzzlehttp/psr7, drupal (drupal).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.5%, cao hơn 84.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 9.2.16, 9.3.9, 2.1.1, 1.8.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
drupal/core Packagist	`≥ 8.0.0, < 9.2.16≥ 9.3.0, < 9.3.9`	`9.2.169.3.9`
guzzlehttp/psr7 Packagist	`≥ 2.0.0, < 2.1.1< 1.8.4`	`2.1.11.8.4`
drupal drupal	`≥ 8.0.0, < 9.2.16≥ 9.3.0, < 9.3.9`	`9.2.169.3.9`
psr-7 guzzlephp	`≥ 2.0.0, < 2.1.1< 1.8.4`	`2.1.11.8.4`

Mô tả

Impact

Improper header parsing. An attacker could sneak in a carriage return character (\r) and pass untrusted values in both the header names and values.

Patches

The issue is patched in 1.8.4 and 2.1.1.

Workarounds

There are no known workarounds.

References

https://www.rfc-editor.org/rfc/rfc7230#section-3.2.4

Mô tả của NVD

guzzlehttp/psr7 is a PSR-7 HTTP message library. Versions prior to 1.8.4 and 2.1.1 are vulnerable to improper header parsing. An attacker could sneak in a new line character and pass untrusted values. The issue is patched in 1.8.4 and 2.1.1. There are currently no known workarounds.