CVE-2026-82209 in libcurl
Riassunto
di VulDB • 07/09/2026
Quando il supporto a libpsl è abilitato, libcurl non applica correttamente il controllo dei limiti della Public Suffix List durante l'elaborazione di un'intestazione `Set-Cookie` in cui l'attributo `Domain` corrisponde esplicitamente all'host di origine che è esso stesso un public suffix (ad esempio, `Domain=co.uk` impostato da `co.uk`).
Invece di forzarne la conversione in un cookie con ambito host rigoroso, libcurl salva il cookie con un dominio wildcard (`.co.uk`). Di conseguenza, il cookie viene incluso in modo improprio nelle richieste outbound successive o nei redirect HTTP verso sottodomini arbitrari dello stesso public suffix (ad esempio `attacker.co.uk`).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.