CVE-2026-55767mediumCWE-1286CWE-346

CVE-2026-55767: falha de média gravidade em guzzle

Guzzle: Dot-Only Cookie Domains Match All Hosts in guzzlehttp/guzzle

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar guzzle+ Monitorar guzzlehttp/guzzle

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.8epss 0.2%
Em resumo

O Guzzle tem um problema na forma como trata cookies: aceita cookies com domínios que contêm apenas pontos ou espaços em branco, e os trata como válidos para qualquer site. Um atacante pode usar isso para injetar cookies que serão enviados para sites não relacionados quando uma mesma cesta de cookies é compartilhada.

Detalhe técnico

A vulnerabilidade ocorre em SetCookie::matchesDomain() e SetCookie::validate(), onde domínios com apenas pontos são normalizados para strings vazias e não são adequadamente rejeitados, fazendo com que cookies correspondam a qualquer host. Um atacante controlando uma origem pode injetar cookies maliciosos em um CookieJar compartilhado que são posteriormente transmitidos para hosts não relacionados, permitindo injeção de cookies ou fixação de sessão contra serviços downstream.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Guzzle is an extensible PHP HTTP client. Prior to 7.12.1, CookieJar incorrectly accepts cookies with a dot-only Domain attribute and whitespace-padded variants. SetCookie::matchesDomain() removes leading dots from the cookie domain, normalizing dot-only values to the empty string; SetCookie::validate() only rejected a strictly empty domain, so these cookies could be stored and the empty normalized domain was treated as matching any request host. An attacker-controlled origin that an application requests with a shared cookie jar can therefore set a cookie that Guzzle later sends to unrelated hosts using the same jar. This may allow cookie injection or session fixation against downstream services, depending on how those services interpret the injected cookie. This vulnerability is fixed in 7.12.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
Produtos afetados
guzzle · guzzle
CVEs relacionadas — guzzle

No mesmo produto, das mais perigosas para as menos.

CVE-2022-31043HIGHFix failure to strip Authorization header on HTTP downgrade in GuzzleEPSS 2.0%CVE-2022-31042HIGHFailure to strip the Cookie header on change in host or HTTP downgrade in GuzzleEPSS 2.0%CVE-2022-31090HIGHCURLOPT_HTTPAUTH option not cleared on change of origin in GuzzleEPSS 1.9%CVE-2022-31091HIGHChange in port should be considered a change in origin in GuzzleEPSS 1.6%CVE-2022-29248HIGHCross-domain cookie leakage in GuzzleEPSS 1.4%CVE-2026-67353MEDIUMguzzlehttp/guzzle before 7.15.1 Unbounded Cookie Denial of ServiceEPSS 0.4%