Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - guzzlehttp/psr7 是一個在 PHP 中實作的 PSR-7 HTTP 訊息程式庫。之前 2.10.2 的版本不會拒絕第一方 URI 主機元件中的 ASCII 控制字元、空格或 DEL。易受攻擊的流程是： 首先，應用程式接受使用者控制的 URL。其次，URL 用於建構 PSR-7 「Uri」或「請求」。第三，主機元件包含 CRLF 或其他標頭不安全字元。第四，當未提供明確的「Host」標頭時，主機會複製到 PSR-7 「Host」標頭中。最後，要求會序列化或由不獨立拒絕格式錯誤主機的 HTTP 用戶端傳送。在該流程中，攻擊者可導致序列化要求包含其他攻擊者控制的標頭行。例如，包含「\r\nX-Injected： yes」的主機可能會導致產生的「Host」標頭跨越多個 HTTP 標頭行。當應用程式使用使用者控制的 URL 進行傳出 HTTP 要求、URL 轉送、代理、編目、Webhook 傳遞或類似的要求分派流程時，它們會受到影響。在涉及 HTTP/1.1 連線重複使用、Proxy、閘道或負載平衡器的部署中，此格式錯誤的要求也可能導致要求走私或快取中毒，具體取決於下游元件剖析要求的方式。此問題已在 '2.10.2' 及之後版本修補。 '1.x' 已結束生命週期，不會收到修補程式。因應措施是先驗證並拒絕所有不受信任的 URI 字串，再建構 PSR-7 「Uri」 或「要求」實例。拒絕包含 ASCII 控制字元、空格或 DEL（包括 CRLF、定位點、空格、NUL 或 DEL 字元）的輸入。轉送要求的應用程式也應該確保最終的 HTTP 用戶端或序列化程式在將要求寫入網路之前拒絕無效的 URI 和標頭資料。（CVE-2026-49214）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補弱點：CVE-2026-49214

medium Nessus Plugin ID 317996

版本 1.5