JVNDB-2026-021221

guzzlephpのguzzleにおける複数の脆弱性

Guzzleは拡張可能なPHP HTTPクライアントです。7.12.1以前のバージョンでは、CookieJarがドットのみのDomain属性や空白で囲まれたバリアントのクッキーを誤って受け入れていました。SetCookie::matchesDomain()はクッキーのドメインから先頭のドットを削除し、ドットのみの値を空文字列に正規化します。一方、SetCookie::validate()は厳密に空のドメインのみを拒否していたため、これらのクッキーは保存され、正規化された空のドメインは任意のリクエストホストに一致するものとして扱われていました。攻撃者が制御するオリジンが共有クッキージャーを使用してアプリケーションにリクエストを送ると、その後Guzzleが同じジャーを使って関連しないホストに送信するクッキーを設定できる可能性があります。これにより、下流サービスが注入されたクッキーをどのように解釈するかに応じて、クッキーの注入やセッション固定のリスクが発生します。この脆弱性は7.12.1で修正されました。

guzzlephp

• guzzle 7.12.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Dot-Only Cookie Domains Match All Hosts in guzzlehttp/guzzle  Advisory  guzzle/guzzle  GitHub

1. 入力の構文的正当性の不適切な検証(CWE-1286) [その他]
2. 同一生成元ポリシー違反(CWE-346) [その他]

1. CVE-2026-55767

1. National Vulnerability Database (NVD) : CVE-2026-55767

• [2026年06月29日]
    掲載