p PatchFirst

CVE-2026-55766

CVE-2026-55766 · guzzlehttp/psr7: CRLF Injection in HTTP Start-Line Serialization

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

guzzlehttp/psr7 is a PSR-7 HTTP message library implementation in PHP. Prior to 2.12.1, guzzlehttp/psr7 did not reject CR/LF characters in certain first-party HTTP start-line fields: the request method, protocol version, and response reason phrase. If an application placed attacker-controlled data into one of those fields and later serialized the PSR-7 message as raw HTTP/1.x, for example with Message::toString() or an equivalent serializer, the serialized message could contain attacker-controlled header lines. The issue can also be reached through Message::parseRequest() or Message::parseResponse() when malformed raw messages are parsed into first-party PSR-7 objects and then serialized again. Creating or modifying a Request, Response, or other PSR-7 object alone is not sufficient. The issue requires the malformed message to be serialized and written to the network, forwarded, replayed, or otherwise processed by software that does not independently reject the malformed start line. This vulnerability is fixed in 2.12.1.

CVSS 4.8 · Mittel · EPSS 0,2% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · php

Betroffene Produkte und Versionen

  • psr7

    Softwareversionen
    • < 2.12.1: Betroffen

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Debian:12

    Softwareversionen
    • 2.10.3-1
    • 2.10.4-1
    • 2.11.0-1
    • 2.12.0-1
    • 2.12.1-1
    • 2.12.3-1
    • 2.12.4-1
    • 2.12.5-1
    • 2.13.0-1
    • 2.13.1-1
    • 2.4.5-1
    • 2.4.5-1+deb12u1
    • 2.5.0-1
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.2-1
    • 2.6.2-2
    • 2.6.2-3
    • 2.7.0-1
    • 2.7.0-2
    • 2.7.0-3
    • 2.7.1-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.9.0-1
    • 2.9.0-2
    • 3.0.0-1
    • 3.1.0-1
    • 3.2.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Debian:13

    Softwareversionen
    • 2.7.1-1
    • 2.7.1-1+deb13u1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.7.1-1+deb13u2

    Auf 2.7.1-1+deb13u2 aktualisieren

  • php-guzzlehttp-psr7 Debian:14

    Softwareversionen
    • 2.10.3-1
    • 2.10.4-1
    • 2.11.0-1
    • 2.12.0-1
    • 2.7.1-1
    • 2.8.0-1
    • 2.8.0-2
    • 2.9.0-1
    • 2.9.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.12.1-1

    Auf 2.12.1-1 aktualisieren

  • guzzlehttp/psr7 Packagist

    Softwareversionen
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.3
    • 1.3.0
    • 1.3.1
    • 1.4.0
    • 1.4.1
    • 1.4.2
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.6.1
    • 1.7.0
    • 1.8.0
    • 1.8.1
    • 1.8.2
    • 1.8.3
    • 1.8.4
    • 1.8.5
    • 1.9.0
    • 1.9.1
    • 2.0.0
    • 2.0.0-beta1
    • 2.0.0-rc1
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.10.0
    • 2.10.1
    • 2.10.2
    • 2.10.3
    • 2.10.4
    • 2.11.0
    • 2.11.1
    • 2.12.0
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.3.0
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    • 2.5.0
    • 2.5.1
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.7.0
    • 2.7.1
    • 2.8.0
    • 2.8.1
    • 2.9.0
    • 2.9.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.12.1

    Auf 2.12.1 aktualisieren

  • php-guzzlehttp-psr7 Ubuntu:16.04:LTS

    Softwareversionen
    • 1.1.0-1
    • 1.2.0-1
    • 1.2.1-1
    • 1.2.2-1
    • 1.2.2-1build1
    • 1.2.2-1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Ubuntu:20.04:LTS

    Softwareversionen
    • 1.4.2-0.1
    • 1.4.2-0.1+deb10u2build0.20.04.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 1.7.0-1
    • 1.8.3-1
    • 1.8.3-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Ubuntu:24.04:LTS

    Softwareversionen
    • 2.6.0-1
    • 2.6.1-1
    • 2.6.2-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Ubuntu:25.10

    Softwareversionen
    • 2.7.0-3
    • 2.7.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • php-guzzlehttp-psr7 Ubuntu:26.04:LTS

    Softwareversionen
    • 2.7.1-1
    • 2.8.0-1
    • 2.8.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →