Vulnérabilité dans guzzlehttp/guzzle (CVE-2026-55767)
Résumé
Vulnérabilité dans guzzlehttp/guzzle (CVE-2026-55767). Risque d'opérations non autorisées ou de divulgation. Exploitable via CookieJar. Atténuation : mise à jour vers 7.12.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
CookieJar incorrectly accepts cookies with a dot-only Domain attribute, such as Domain=., Domain=.., Domain=..., and whitespace-padded variants such as Domain= . . In affected versions, SetCookie::matchesDomain() removes leading dots from the cookie domain, normalizing dot-only values to the empty string; SetCookie::validate() only rejected a strictly empty domain, so these cookies could be stored and the empty normalized domain was treated as matching any request host.
An attacker-controlled origin that an application requests with a shared cookie jar can therefore set a cookie that Guzzle later sends to unrelated hosts using the same jar. This may allow cookie injection or session fixation against downstream services, depending on how those services interpret the injected cookie. Applications are affected when they use Guzzle's cookie support, for example new Client(['cookies' => true]) or an explicit shared CookieJar, and reuse the same jar across attacker-controlled and trusted origins.
Applications that do not use Guzzle's cookie support, or that use separate cookie jars per origin or trust boundary, are not affected. This issue is distinct from public suffix list validation: dot-only domains contain no domain label and should not match unrelated hosts.
Patches
The issue is patched in 7.12.1 and later. Starting in that release, Guzzle rejects dot-only cookie Domain attributes and prevents an empty normalized cookie domain from…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-55767 a été découverte dans guzzlehttp/guzzle.
Des attaquants peuvent cibler un point d'entrée spécifique comme CookieJar à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.8/10.
Action : mettez à jour guzzlehttp/guzzle vers 7.12.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « guzzlehttp/guzzle CVE-2026-55767 » sur le site de l'éditeur.
CVE-2026-55767 (guzzlehttp/guzzle) — CWE-346 / CVSS v3 5.8
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : CookieJar / Domain
Correctif : 7.12.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-346) affecte guzzlehttp/guzzle. Les attaquants atteignent le code vulnérable via CookieJar sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de guzzlehttp/guzzle. Surface d'attaque : CookieJar / Domain.
Gravité : Moyenne (CVSS 5.8/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 7.12.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'guzzlehttp/guzzle' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
guzzlehttp/guzzleを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade guzzlehttp/guzzle to 7.12.1ステージング環境で 7.12.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-55767 guzzle
- Ubuntu UBUNTU-CVE-2026-55767 guzzle