CVE-2026-92392

Gdy curl ma używać HSTS, czas wygaśnięcia dla subdomeny może nadpisać wpis w pamięci podręcznej domeny nadrzędnej, powodując wcześniejsze lub późniejsze wygaśnięcie niż zamierzono. Dotyczy to aplikacji używających HSTS i adresów URL z niebezpiecznym schematem HTTP://.

Gdy curl ma używać rozszerzenia TLS Certificate Status Request (OCSP stapling) do weryfikacji certyfikatu serwera, może nie wykryć niektórych problemów OCSP i błędnie uznać odpowiedź za poprawną, jeśli zwrócony status zgłasza inny błąd niż oczekiwany.

Gdy curl jest proszony o użycie pliku `.netrc` do uwierzytelnienia oraz o podążanie za przekierowaniami HTTP, może wyciec hasło użyte dla pierwszego hosta do hosta docelowego po przekierowaniu w pewnych okolicznościach. Problem występuje tylko, jeśli plik netrc zawiera wpis pasujący do hosta docelowego.

Gdy curl używa pliku .netrc do znalezienia poświadczeń i jednocześnie podano URL z nazwą użytkownika (bez hasła), curl może błędnie pobrać i użyć hasła innego użytkownika z .netrc dla tego hosta, jeśli nie ma dopasowania dla podanego użytkownika.

W bibliotece curl wykryto podwójne zwolnienie pamięci (double-free) w mechanizmie uwierzytelniania SASL. Błąd powoduje, że kontekst GSASL jest czyszczony dwukrotnie bez wyzerowania wskaźnika, co prowadzi do wywołania funkcji free() na tym samym obszarze pamięci.

Błąd w logice parsowania ciasteczek w curl pozwala złośliwemu serwerowi HTTP ustawiać "super cookies", które omijają sprawdzanie Public Suffix List, umożliwiając wstrzykiwanie ciasteczek do niepowiązanych domen trzecich.

Podatność CVE-2023-38545 dotyczy przepełnienia bufora w pamięci sterty podczas handshake'u proxy SOCKS5 w narzędziu curl. Problem występuje, gdy curl przekazuje zbyt długą nazwę hosta do proxy, co prowadzi do nieprawidłowego kopiowania danych.

curl obsługuje opcję linii poleceń -t, znaną jako CURLOPT_TELNETOPTIONS w libcurl. Ta rzadko używana opcja służy do wysyłania par zmienna=treść do serwerów TELNET. Z powodu błędu w parserze opcji do wysyłania zmiennych NEW_ENV, libcurl może przekazać niezainicjalizowane dane z bufora na stosie do serwera, potencjalnie ujawniając wrażliwe informacje wewnętrzne serwerowi przy użyciu protokołu przesyłanego jawnym tekstem. Stało się tak, ponieważ curl nie wywoływał i nie używał poprawnie funkcji sscanf() podczas parsowania ciągu dostarczonego przez aplikację.

Gdy curl jest instruowany do pobierania treści za pomocą funkcji metalink, zawartość jest weryfikowana względem hasha podanego w pliku XML metalink. Plik metalink wskazuje klientowi, jak uzyskać tę samą treść z różnych adresów URL, potencjalnie hostowanych przez różne serwery. Jeśli jeden z serwerów hostujących treść został naruszony, a zawartość pliku na tym serwerze została zastąpiona zmodyfikowanym ładunkiem, curl powinien to wykryć, gdy hash pliku nie zgadza się po zakończonym pobieraniu. Powinien usunąć zawartość i spróbować pobrać ją z innego adresu URL. Tak się nie dzieje; zamiast tego taka niezgodność hasha jest tylko wspomniana w tekście, a potencjalnie złośliwa zawartość pozostaje w pliku na dysku.

curl w wersjach 7.75.0 do 7.76.1 cierpi na podatność use-after-free, która powoduje użycie już zwolnionej pamięci, gdy przychodzi ticket sesji TLS 1.3 na połączeniu. Złośliwy serwer może w rzadkich okolicznościach wykorzystać to do zdalnego wykonania kodu w kliencie.