CVE-2026-87861

Gdy curl ma używać HSTS, czas wygaśnięcia dla subdomeny może nadpisać wpis w pamięci podręcznej domeny nadrzędnej, powodując wcześniejsze lub późniejsze wygaśnięcie niż zamierzono. Dotyczy to aplikacji używających HSTS i adresów URL z niebezpiecznym schematem HTTP://.

Gdy curl używa pliku .netrc do znalezienia poświadczeń i jednocześnie podano URL z nazwą użytkownika (bez hasła), curl może błędnie pobrać i użyć hasła innego użytkownika z .netrc dla tego hosta, jeśli nie ma dopasowania dla podanego użytkownika.

W bibliotece curl wykryto podwójne zwolnienie pamięci (double-free) w mechanizmie uwierzytelniania SASL. Błąd powoduje, że kontekst GSASL jest czyszczony dwukrotnie bez wyzerowania wskaźnika, co prowadzi do wywołania funkcji free() na tym samym obszarze pamięci.

Błąd w logice parsowania ciasteczek w curl pozwala złośliwemu serwerowi HTTP ustawiać "super cookies", które omijają sprawdzanie Public Suffix List, umożliwiając wstrzykiwanie ciasteczek do niepowiązanych domen trzecich.

Podatność CVE-2023-38545 dotyczy przepełnienia bufora w pamięci sterty podczas handshake'u proxy SOCKS5 w narzędziu curl. Problem występuje, gdy curl przekazuje zbyt długą nazwę hosta do proxy, co prowadzi do nieprawidłowego kopiowania danych.

W curl w wersjach przed v7.88.0 występuje podatność polegająca na przesyłaniu poufnych informacji w postaci czystego tekstu, która może powodować awarię funkcji HSTS przy sekwencyjnym żądaniu wielu adresów URL. Mechanizm HSTS jest ignorowany przy kolejnych transferach w tej samej linii poleceń, ponieważ stan nie jest prawidłowo przenoszony.

W curl przed 7.84.0 podczas transferów FTP zabezpieczonych przez krb5, błędnie obsługiwane są błędy weryfikacji wiadomości. Ta wada umożliwia atak typu Man-In-The-Middle pozostający niezauważonym i pozwala na wstrzyknięcie danych do klienta.

Gdy curl < 7.84.0 zapisuje ciasteczka, alt-svc i dane HSTS do plików lokalnych, wykonuje operację atomowo, finalizując ją przez zmianę nazwy z tymczasowej nazwy na docelową nazwę pliku. W tej operacji zmiany nazwy może przypadkowo *rozszerzyć* uprawnienia dla pliku docelowego, pozostawiając zaktualizowany plik dostępnym dla większej liczby użytkowników niż zamierzano.

curl w wersjach poniżej 7.84.0 obsługuje łańcuchowe algorytmy kompresji HTTP, co oznacza, że odpowiedź serwera może być skompresowana wielokrotnie, potencjalnie różnymi algorytmami. Liczba akceptowanych ogniw w łańcuchu dekompresji była nieograniczona, co pozwalało złośliwemu serwerowi wstawić praktycznie nieograniczoną liczbę kroków kompresji.

Złośliwy serwer może wysłać nadmierną liczbę nagłówków `Set-Cookie:` w odpowiedzi HTTP do curl, a curl w wersjach poniżej 7.84.0 przechowuje je wszystkie. Wystarczająco duża liczba dużych plików cookie powoduje, że kolejne żądania HTTP stają się większe niż wewnętrzny próg curl (1048576 bajtów), co skutkuje zwróceniem błędu.