CVE-2026-55766

guzzlehttp/psr7: CRLF Injection in HTTP Start-Line Serialization

CVSS 4.8 MEDIUMCWE-113 CWE-93

En resumen

La biblioteca guzzlehttp/psr7 permite que atacantes inyecten caracteres de salto de línea (CR/LF) en el método HTTP, versión del protocolo o frase de razón de la respuesta. Cuando estos mensajes se serializan y se envían por la red, los saltos de línea inyectados pueden crear encabezados HTTP falsos, engañando a servidores o proxies.

Detalle técnico

CWE-113 (Neutralización Inadecuada de Secuencias CRLF en Encabezados HTTP) y CWE-93 (Neutralización Inadecuada de Secuencias CRLF en Línea de Inicio HTTP) permiten inyección de CRLF a través de datos controlados por el atacante en los campos de método de solicitud, versión de protocolo o frase de razón. La vulnerabilidad se manifiesta cuando un mensaje PSR-7 que contiene valores malformados en la línea de inicio se serializa mediante Message::toString() o equivalente y se transmite; sistemas posteriores que no validan independientemente la línea inicial HTTP pueden procesar encabezados inyectados. La explotación requiere tanto la creación del mensaje con entrada del atacante como la serialización y transmisión posteriores.

Resumen generado y traducido por IA a partir de la descripción oficial.

guzzlehttp/psr7 is a PSR-7 HTTP message library implementation in PHP. Prior to 2.12.1, guzzlehttp/psr7 did not reject CR/LF characters in certain first-party HTTP start-line fields: the request method, protocol version, and response reason phrase. If an application placed attacker-controlled data into one of those fields and later serialized the PSR-7 message as raw HTTP/1.x, for example with Message::toString() or an equivalent serializer, the serialized message could contain attacker-controlled header lines. The issue can also be reached through Message::parseRequest() or Message::parseResponse() when malformed raw messages are parsed into first-party PSR-7 objects and then serialized again. Creating or modifying a Request, Response, or other PSR-7 object alone is not sufficient. The issue requires the malformed message to be serialized and written to the network, forwarded, replayed, or otherwise processed by software that does not independently reject the malformed start line. This vulnerability is fixed in 2.12.1.

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Productos afectados

guzzle · psr7

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/guzzle/psr7/security/advisories/GHSA-vm85-hxw5-5432