תיאור (מקור, אנגלית)
A flaw in libcurl makes it wrongly reuse an HTTP connection setup for a given hostname using Negotiate authentication, when the initial request is done using empty credentials. This can make user B's request get sent over user A's previously authenticated connection.
מוצרים מושפעים
haxx: curl
קישורים4
- curl.se/docs/CVE-2026-19931.html PatchVendor Advisory
- curl.se/docs/CVE-2026-19931.json Vendor Advisory
- hackerone.com/reports/3923520 ExploitMitigationThird Party Advisory
- hackerone.com/reports/3923520 ExploitMitigationThird Party Advisory
מדדים
- CVSS 3.1
-
9.8
CRITICAL
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - EPSS — סבירות ניצול
- 1% אחוזון 66 · נכון ל-3 בנובמבר 2026
- CWE
- CWE-488
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.