CVE-2026-87866 in curl
Riassunto
di VulDB • 20/10/2026
Quando compilato con wolfSSL, curl può validare correttamente un hash della chiave pubblica vincolata (pinned) rispetto a una chiave che il peer TLS non possiede. Durante la handshake TLS, wolfSSL valida la connessione, ma la successiva riparserizzazione dello stesso certificato da parte di curl – ingannata da un campo della lunghezza di validità manipolato – estrae e confronta una chiave diversa incorporata nel certificato, autorizzando erroneamente la chiave pubblica vincolata (pinned).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.