CVE-2026-82209 in libcurl
Zusammenfassung
von VulDB • 07.09.2026
Wenn die Unterstützung für libpsl aktiviert ist, erzwingt libcurl bei der Verarbeitung eines `Set-Cookie`-Headers keine die Public-Suffix-List-Grenzenprüfung, wenn das Attribut `Domain` explizit mit einem Ursprungs-Host übereinstimmt, der selbst ein öffentliches Suffix ist (z. B. `Domain=co.uk`, festgelegt von `co.uk`).
Anstatt den Cookie in einen strikten Host-only-Cookie umzuwandeln, speichert libcurl den Cookie mit einer Wildcard-Domänenreichweite (`.co.uk`). Infolgedessen wird der Cookie unangemessen bei nachfolgenden ausgehenden Anfragen oder HTTP-Weiterleitungen an beliebige untergeordnete Subdomains desselben öffentlichen Suffixes (z. B. `attacker.co.uk`) einbezogen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.