CVE-2026-86410

Gdy curl jest wywoływany z opcją --remote-header-name (-J), nie zachowuje udokumentowanej ochrony przed nadpisaniem plików, jeśli pośrednia odpowiedź 103 Early Hints poprzedza końcową odpowiedź HTTP lub jeśli nagłówek ETag jest przetwarzany przed Content-Disposition w ramach --etag-save. Ta wada pozwala zdalnemu serwerowi HTTP na nadpisanie plików.

Gdy opcja CURLOPT_INTERFACE (lub opcja --interface w narzędziu wiersza poleceń) jest ustawiona z jednym z udokumentowanych prefiksów (if!, host!, ifhost!), to powiązanie nie jest częścią klucza ponownego użycia połączenia. Późniejsza transmisja żądająca innego źródła może po cichu użyć istniejącego połączenia.

Zdalny serwer HTTP może ustawić plik cookie, który curl akceptuje i zapisuje do słoika cookies w formacie Netscape, ale nie może go ponownie wczytać. Przy następnym wywołaniu używającym tej samej ścieżki dla --cookie i --cookie-jar curl zawodzi przed połączeniem, a procedura czyszczenia zastępuje słoik pustym plikiem, usuwając pliki cookie.

Podczas zapisywania długiej nazwy i wartości pliku cookie do słoika cookies w formacie Netscape, zdalny serwer HTTP może spowodować, że curl zapisze rekord przekraczający limit długości linii przy parsowaniu. W konsekwencji każde kolejne wywołanie curl czytające z tego samego słoika cookies za pomocą --cookie po cichu przerwie parsowanie przedwcześnie.

Gdy curl jest zbudowany z biblioteką GnuTLS, złośliwy serwer WebSocket może spowodować, że curl wyśle dane z pamięci poza swój bufor wysyłania. Wynika to z odczytu poza granicami bufora, gdy funkcja gnutls_record_send() zwraca liczbę wysłanych bajtów większą niż liczba bajtów przekazanych do wysłania.

Uwierzytelnione źródło HTTPS może podać wartość max-age HSTS, którą parser akceptuje, ale późniejsza serializacja czasu nie jest w stanie jej przetworzyć. W systemach 64-bitowych skrajne wartości max-age obliczają absolutny czas wygaśnięcia w standardowych granicach liczb całkowitych czasu, który przekracza granice struktury czasu kalendarzowego.

Gdy curl ma używać HSTS, czas wygaśnięcia dla subdomeny może nadpisać wpis w pamięci podręcznej domeny nadrzędnej, powodując wcześniejsze lub późniejsze wygaśnięcie niż zamierzono. Dotyczy to aplikacji używających HSTS i adresów URL z niebezpiecznym schematem HTTP://.

Zaimportowanie nadrzędnego wpisu HSTS z includeSubDomains przed wpisem podrzędnym o dłuższym czasie ważności powoduje ciche odrzucenie wpisu podrzędnego. W rezultacie, gdy wpis nadrzędny wygaśnie, ważna polityka HSTS wpisu podrzędnego zostaje utracona, powodując wysyłanie przez curl niezaszyfrowanych żądań HTTP zamiast aktualizacji do HTTPS.

Gdy curl używa pliku .netrc do znalezienia poświadczeń i jednocześnie podano URL z nazwą użytkownika (bez hasła), curl może błędnie pobrać i użyć hasła innego użytkownika z .netrc dla tego hosta, jeśli nie ma dopasowania dla podanego użytkownika.

W bibliotece curl wykryto podwójne zwolnienie pamięci (double-free) w mechanizmie uwierzytelniania SASL. Błąd powoduje, że kontekst GSASL jest czyszczony dwukrotnie bez wyzerowania wskaźnika, co prowadzi do wywołania funkcji free() na tym samym obszarze pamięci.