JVNDB-2026-021226

guzzlephpのguzzleにおける複数の脆弱性

Guzzleは拡張可能なPHP HTTPクライアントです。7.12.1以前の特定の設定では、プロキシへのホップでTLSにより保護されることが期待されるトラフィックが平文で送信されてしまいます。プロキシ認証情報（Proxy-Authorizationヘッダー、プロキシURL内のプロキシユーザー情報、またはCURLOPT_PROXYUSERPWD）は暗号化されることなく送信され、トンネル化されたHTTPSリクエストのCONNECTターゲットホストとポートが露出します。組み込みのcURLハンドラー（GuzzleHttp\Handler\CurlHandlerおよびGuzzleHttp\Handler\CurlMultiHandler、PHPのcURL拡張が利用可能な場合にデフォルトで使用される）はhttps://プロキシを受け入れますが、7.50.2より古いlibcurlはhttps://プロキシを平文のhttp://プロキシとして静かに扱います。プロキシへのTLS接続は確立されず、その結果プロキシ側の通信は警告やエラーなしに平文で行われます。アプリケーションはこれらの組み込みcURLハンドラーのいずれかを通してリクエストを送信し、プロキシ接続自体の暗号化を期待してhttps://プロキシを設定し、7.50.2より古いlibcurlで実行される場合に影響を受けます。この脆弱性は7.12.1で修正されました。

guzzlephp

• guzzle 7.12.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Silent HTTPS-Proxy Downgrade to Cleartext in guzzlehttp/guzzle  Advisory  guzzle/guzzle  GitHub

1. 重要なデータの暗号化の欠如(CWE-311) [その他]
2. 重要な情報の平文での送信(CWE-319) [その他]
3. 安全でない失敗処理(CWE-636) [その他]

1. CVE-2026-55568

1. National Vulnerability Database (NVD) : CVE-2026-55568

• [2026年06月29日]
    掲載