Vulnerabilidad en guzzle-services de guzzle (CVE-2026-53723)

Guzzle Services proporciona una implementación de la biblioteca Guzzle Command que utiliza descripciones de servicio de Guzzle para describir servicios web, serializar solicitudes y analizar respuestas en estructuras de modelo fáciles de usar. Las versiones anteriores a la 1.5.4 no serializan de forma segura los valores de elementos XML escalares que contienen el terminador CDATA “]]>”. El serializador de solicitudes XML escribe valores que contienen “”, o “&” con “XMLWriter::writeCData($value)”. Si la entrada controlada por el atacante contiene “]]>”, la sección CDATA se cierra prematuramente y el resto se interpreta como marcado XML. Este es un problema de integridad del cuerpo de la solicitud saliente, no un problema de análisis de respuesta. El atacante no necesita controlar la descripción del servicio o el esquema. Los usuarios se ven afectados cuando se cumplen todas las siguientes condiciones: la aplicación utiliza “guzzlehttp/guzzle-services” para serializar solicitudes salientes; un parámetro de solicitud o esquema de “additionalParameters” utiliza “location: xml”; el valor se serializa como texto de elemento XML, no como un atributo XML; el valor puede contener entrada controlada por el atacante, controlada por el usuario, controlada por el inquilino o de otro modo no confiable; el valor no está restringido por un “enum”, “pattern” o filtro personalizado seguro que excluya “]]>”; y el servicio descendente analiza el XML generado estructuralmente y puede actuar sobre elementos inesperados, duplicados o inyectados. Las aplicaciones que serializan entrada no confiable en parámetros de solicitud “location: xml” pueden emitir XML que contenga elementos controlados por el atacante fuera del nodo de texto previsto. Dependiendo del servicio receptor, esto puede alterar la semántica de la operación, introducir campos privilegiados, eludir los límites de los parámetros modelados o crear elementos duplicados conflictivos. Las descripciones de servicio corregidas son suficientes si contienen un parámetro de elemento XML poblado a partir de entrada controlada por el atacante. Los usuarios no se ven directamente afectados si solo utilizan Guzzle Services para deserializar cuerpos de respuesta HTTP. El análisis de XML de respuesta utiliza el visitante de ubicación de XML de respuesta y no invoca el serializador de solicitudes XML vulnerable. Los cuerpos de respuesta importan solo en un flujo de segundo orden, como analizar XML de respuesta controlado por el atacante, almacenar o reenviar un valor de cadena analizado y luego usarlo como un parámetro de solicitud “location: xml”. El problema está parcheado en la versión “1.5.3” y posteriores dividiendo de forma segura los terminadores CDATA incrustados antes de la serialización. La corrección preserva el valor escalar original como texto XML y previene nodos inyectados. Como solución alternativa, restrinja los valores de elementos XML controlados por el atacante con un “enum”, “pattern” o filtro personalizado estricto que excluya “]]>”, o evite serializar datos no confiables en texto de elemento “location: xml” hasta que se aplique el parche. Cuando sea apropiado para el esquema de servicio, los atributos XML no se ven afectados porque se escriben con las API de atributos de XMLWriter en lugar de secciones CDATA. Para determinar si se necesita acción, busque en las descripciones de servicio parámetros de solicitud que utilicen “location: xml”, incluyendo “parameters” de operación y “additionalParameters”. Los “models” solo de respuesta no se ven directamente afectados a menos que los valores analizados se reutilicen para la serialización de solicitudes. Para parámetros de objeto y array, revise las propiedades escalares anidadas porque los valores de los elementos hoja aún pueden verse afectados.