CVE-2026-55766mediumCWE-113CWE-93

CVE-2026-55766: falha de média gravidade em guzzle psr7

guzzlehttp/psr7: CRLF Injection in HTTP Start-Line Serialization

Publicada em

Seguir esta CVE+ Monitorar psr7+ Monitorar php-guzzlehttp-psr7

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.8epss 0.2%
Em resumo

A biblioteca guzzlehttp/psr7 permite que invasores injetem caracteres de quebra de linha (CR/LF) no método HTTP, versão do protocolo ou frase de motivo da resposta. Quando essas mensagens são serializadas e enviadas pela rede, as quebras de linha injetadas podem criar cabeçalhos HTTP falsos, enganando servidores ou proxies.

Detalhe técnico

CWE-113 (Neutralização Imprópria de Sequências CRLF em Cabeçalhos HTTP) e CWE-93 (Neutralização Imprópria de Sequências CRLF na Linha de Início HTTP) permitem injeção de CRLF através de dados controlados pelo invasor nos campos de método de requisição, versão do protocolo ou frase de motivo. A vulnerabilidade se manifesta quando uma mensagem PSR-7 contendo valores malformados na linha de início é serializada via Message::toString() ou equivalente e transmitida; sistemas subsequentes que não validam independentemente a linha inicial HTTP podem processar cabeçalhos injetados. A exploração requer tanto a criação da mensagem com entrada do invasor quanto a serialização e transmissão subsequentes.

Resumo gerado e traduzido por IA a partir da descrição oficial.
guzzlehttp/psr7 is a PSR-7 HTTP message library implementation in PHP. Prior to 2.12.1, guzzlehttp/psr7 did not reject CR/LF characters in certain first-party HTTP start-line fields: the request method, protocol version, and response reason phrase. If an application placed attacker-controlled data into one of those fields and later serialized the PSR-7 message as raw HTTP/1.x, for example with Message::toString() or an equivalent serializer, the serialized message could contain attacker-controlled header lines. The issue can also be reached through Message::parseRequest() or Message::parseResponse() when malformed raw messages are parsed into first-party PSR-7 objects and then serialized again. Creating or modifying a Request, Response, or other PSR-7 object alone is not sufficient. The issue requires the malformed message to be serialized and written to the network, forwarded, replayed, or otherwise processed by software that does not independently reject the malformed start line. This vulnerability is fixed in 2.12.1.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Produtos afetados
guzzle · psr7
CVEs relacionadas — guzzle psr7

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24775HIGHImproper Input Validation in guzzlehttp/psr7EPSS 2.5%CVE-2023-29197MEDIUMImproper header name validation in guzzlehttp/psr7EPSS 1.2%CVE-2026-59882MEDIUMguzzlehttp/psr7: Host Confusion via Weak URI Host ValidationEPSS 0.3%CVE-2026-48998MEDIUMguzzlehttp/psr7 has Host Confusion via Authority ReinterpretationEPSS 0.2%CVE-2026-49214MEDIUMguzzlehttp/psr7 has CRLF Injection via URI Host ComponentEPSS 0.2%