CVE-2026-107929

Gdy curl jest wywoływany z opcją --remote-header-name (-J), nie zachowuje udokumentowanej ochrony przed nadpisaniem plików, jeśli pośrednia odpowiedź 103 Early Hints poprzedza końcową odpowiedź HTTP lub jeśli nagłówek ETag jest przetwarzany przed Content-Disposition w ramach --etag-save. Ta wada pozwala zdalnemu serwerowi HTTP na nadpisanie plików.

Błąd w logice narzędzia wiersza poleceń curl powoduje, że opcje weryfikacji hosta SSH są ustawiane tylko przy bezpośredniej interakcji przez SFTP lub SCP, a nie w wyniku przekierowania. Oznacza to, że --knownhosts, --hostpubsha256 i --hostpubmd5 nigdy nie są instalowane, gdy początkowy URL to HTTPS.

Zdalny serwer HTTP może ustawić plik cookie, który curl akceptuje i zapisuje do słoika cookies w formacie Netscape, ale nie może go ponownie wczytać. Przy następnym wywołaniu używającym tej samej ścieżki dla --cookie i --cookie-jar curl zawodzi przed połączeniem, a procedura czyszczenia zastępuje słoik pustym plikiem, usuwając pliki cookie.

Podczas zapisywania długiej nazwy i wartości pliku cookie do słoika cookies w formacie Netscape, zdalny serwer HTTP może spowodować, że curl zapisze rekord przekraczający limit długości linii przy parsowaniu. W konsekwencji każde kolejne wywołanie curl czytające z tego samego słoika cookies za pomocą --cookie po cichu przerwie parsowanie przedwcześnie.

Gdy curl jest zbudowany z biblioteką GnuTLS, złośliwy serwer WebSocket może spowodować, że curl wyśle dane z pamięci poza swój bufor wysyłania. Wynika to z odczytu poza granicami bufora, gdy funkcja gnutls_record_send() zwraca liczbę wysłanych bajtów większą niż liczba bajtów przekazanych do wysłania.

Uwierzytelnione źródło HTTPS może podać wartość max-age HSTS, którą parser akceptuje, ale późniejsza serializacja czasu nie jest w stanie jej przetworzyć. W systemach 64-bitowych skrajne wartości max-age obliczają absolutny czas wygaśnięcia w standardowych granicach liczb całkowitych czasu, który przekracza granice struktury czasu kalendarzowego.

Gdy curl ma używać HSTS, czas wygaśnięcia dla subdomeny może nadpisać wpis w pamięci podręcznej domeny nadrzędnej, powodując wcześniejsze lub późniejsze wygaśnięcie niż zamierzono. Dotyczy to aplikacji używających HSTS i adresów URL z niebezpiecznym schematem HTTP://.

Zaimportowanie nadrzędnego wpisu HSTS z includeSubDomains przed wpisem podrzędnym o dłuższym czasie ważności powoduje ciche odrzucenie wpisu podrzędnego. W rezultacie, gdy wpis nadrzędny wygaśnie, ważna polityka HSTS wpisu podrzędnego zostaje utracona, powodując wysyłanie przez curl niezaszyfrowanych żądań HTTP zamiast aktualizacji do HTTPS.

Gdy curl używa pliku .netrc do znalezienia poświadczeń i jednocześnie podano URL z nazwą użytkownika (bez hasła), curl może błędnie pobrać i użyć hasła innego użytkownika z .netrc dla tego hosta, jeśli nie ma dopasowania dla podanego użytkownika.

W bibliotece curl wykryto podwójne zwolnienie pamięci (double-free) w mechanizmie uwierzytelniania SASL. Błąd powoduje, że kontekst GSASL jest czyszczony dwukrotnie bez wyzerowania wskaźnika, co prowadzi do wywołania funkcji free() na tym samym obszarze pamięci.