CVE-2026-53723

{
  "id": "CVE-2026-53723",
  "sourceIdentifier": "[email protected]",
  "published": "2026-06-11T14:16:31.403",
  "lastModified": "2026-10-25T23:10:00.167",
  "vulnStatus": "Awaiting Analysis",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Guzzle Services provides an implementation of the Guzzle Command library that uses Guzzle service descriptions to describe web services, serialize requests, and parse responses into easy to use model structures. Versions prior ro 1.5.4 do not safely serialize scalar XML element values containing the CDATA terminator `]]>`. The XML request serializer writes values containing `<`, `>`, or `&` with `XMLWriter::writeCData($value)`. If attacker-controlled input contains `]]>`, the CDATA section closes early and the remainder is interpreted as XML markup. This is an outgoing request-body integrity issue, not a response parsing issue. The attacker does not need to control the service description or schema. Users are affected when all of the following are true: the application uses `guzzlehttp/guzzle-services` to serialize outgoing requests; a request parameter or `additionalParameters` schema uses `location: xml`; the value is serialized as XML element text, not an XML attribute; the value can contain attacker-controlled, user-controlled, tenant-controlled, or otherwise untrusted input; the value is not constrained by a safe `enum`, `pattern`, or custom filter that excludes `]]>`; and the downstream service parses the generated XML structurally and may act on unexpected, duplicated, or injected elements. Applications that serialize untrusted input into `location: xml` request parameters can emit XML containing attacker-controlled elements outside the intended text node. Depending on the receiving service, this can alter operation semantics, smuggle privileged fields, bypass modeled parameter boundaries, or create conflicting duplicated elements. Fixed service descriptions are sufficient if they contain an XML element parameter populated from attacker-controlled input. Users are not directly affected if they only use Guzzle Services to deserialize HTTP response bodies. Response XML parsing uses the response XML location visitor and does not invoke the vulnerable request XML serializer. Response bodies matter only in a second-order flow, such as parsing attacker-controlled response XML, storing or forwarding a parsed string value, and later using it as a `location: xml` request parameter. The issue is patched in `1.5.3` and later by safely splitting embedded CDATA terminators before serialization. The fix preserves the original scalar value as XML text and prevents injected nodes. As a workaround, constrain attacker-controlled XML element values with a strict `enum`, `pattern`, or custom filter that excludes `]]>`, or avoid serializing untrusted data into `location: xml` element text until patched. Where appropriate for the service schema, XML attributes are not affected because they are written with XMLWriter attribute APIs rather than CDATA sections. To determine whether action is needed, search service descriptions for request parameters using `location: xml`, including operation `parameters` and `additionalParameters`. Response-only `models` are not directly affected unless parsed values are reused for request serialization. For object and array parameters, review nested scalar properties because leaf element values can still be affected."
    },
    {
      "lang": "es",
      "value": "Guzzle Services proporciona una implementación de la biblioteca Guzzle Command que utiliza descripciones de servicio de Guzzle para describir servicios web, serializar solicitudes y analizar respuestas en estructuras de modelo fáciles de usar. Las versiones anteriores a la 1.5.4 no serializan de forma segura los valores de elementos XML escalares que contienen el terminador CDATA “]]>”. El serializador de solicitudes XML escribe valores que contienen “<”, “>”, o “&” con “XMLWriter::writeCData($value)”. Si la entrada controlada por el atacante contiene “]]>”, la sección CDATA se cierra prematuramente y el resto se interpreta como marcado XML. Este es un problema de integridad del cuerpo de la solicitud saliente, no un problema de análisis de respuesta. El atacante no necesita controlar la descripción del servicio o el esquema. Los usuarios se ven afectados cuando se cumplen todas las siguientes condiciones: la aplicación utiliza “guzzlehttp/guzzle-services” para serializar solicitudes salientes; un parámetro de solicitud o esquema de “additionalParameters” utiliza “location: xml”; el valor se serializa como texto de elemento XML, no como un atributo XML; el valor puede contener entrada controlada por el atacante, controlada por el usuario, controlada por el inquilino o de otro modo no confiable; el valor no está restringido por un “enum”, “pattern” o filtro personalizado seguro que excluya “]]>”; y el servicio descendente analiza el XML generado estructuralmente y puede actuar sobre elementos inesperados, duplicados o inyectados. Las aplicaciones que serializan entrada no confiable en parámetros de solicitud “location: xml” pueden emitir XML que contenga elementos controlados por el atacante fuera del nodo de texto previsto. Dependiendo del servicio receptor, esto puede alterar la semántica de la operación, introducir campos privilegiados, eludir los límites de los parámetros modelados o crear elementos duplicados conflictivos. Las descripciones de servicio corregidas son suficientes si contienen un parámetro de elemento XML poblado a partir de entrada controlada por el atacante. Los usuarios no se ven directamente afectados si solo utilizan Guzzle Services para deserializar cuerpos de respuesta HTTP. El análisis de XML de respuesta utiliza el visitante de ubicación de XML de respuesta y no invoca el serializador de solicitudes XML vulnerable. Los cuerpos de respuesta importan solo en un flujo de segundo orden, como analizar XML de respuesta controlado por el atacante, almacenar o reenviar un valor de cadena analizado y luego usarlo como un parámetro de solicitud “location: xml”. El problema está parcheado en la versión “1.5.3” y posteriores dividiendo de forma segura los terminadores CDATA incrustados antes de la serialización. La corrección preserva el valor escalar original como texto XML y previene nodos inyectados. Como solución alternativa, restrinja los valores de elementos XML controlados por el atacante con un “enum”, “pattern” o filtro personalizado estricto que excluya “]]>”, o evite serializar datos no confiables en texto de elemento “location: xml” hasta que se aplique el parche. Cuando sea apropiado para el esquema de servicio, los atributos XML no se ven afectados porque se escriben con las API de atributos de XMLWriter en lugar de secciones CDATA. Para determinar si se necesita acción, busque en las descripciones de servicio parámetros de solicitud que utilicen “location: xml”, incluyendo “parameters” de operación y “additionalParameters”. Los “models” solo de respuesta no se ven directamente afectados a menos que los valores analizados se reutilicen para la serialización de solicitudes. Para parámetros de objeto y array, revise las propiedades escalares anidadas porque los valores de los elementos hoja aún pueden verse afectados."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "guzzle",
          "product": "guzzle-services",
          "versions": [
            {
              "version": "< 1.5.4",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "[email protected]",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N",
          "baseScore": 5.8,
          "baseSeverity": "MEDIUM",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "CHANGED",
          "confidentialityImpact": "NONE",
          "integrityImpact": "LOW",
          "availabilityImpact": "NONE"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 1.4
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-06-11T15:57:24.654072Z",
          "id": "CVE-2026-53723",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-20"
        },
        {
          "lang": "en",
          "value": "CWE-91"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/guzzle/guzzle-services/security/advisories/GHSA-q8r6-5hfw-5jff",
      "source": "[email protected]"
    }
  ]
}