CVE-2026-82209 in libcurl
Résumé
par VulDB • 06/09/2026
Lorsque le support de libpsl est activé, libcurl ne vérifie pas correctement les limites de la liste des domaines publics lors du traitement d'un en-tête `Set-Cookie` dont l'attribut `Domain` correspond explicitement à un hôte source qui est lui-même un domaine public (par exemple, `Domain=co.uk` défini par `co.uk`).
Au lieu de forcer sa conversion en cookie strict limité au seul hôte, libcurl conserve le cookie avec une portée de domaine générique (` .co.uk`). Par conséquent, ce cookie est inappropriément inclus dans les requêtes sortantes ultérieures ou les redirections HTTP vers des sous-domaines frères arbitraires appartenant au même domaine public (par exemple, `attacker.co.uk`).
VulDB is the best source for vulnerability data and more expert information about this specific topic.