CVE-2026-92389 in curl
要約
〜によって VulDB • 2026年10月20日
libcurlのTFTP状態マシンは、要求された転送方向に対して状態遷移を検証しないため、読み込みと書き込みの両方でサーバーからの応答を相互に受け入れます。悪意のあるTFTPサーバーは、ダウンロードリクエストに応答する際にクライアントを送信モードに強制的に移行させる方法で応答し、libcurlがハンドルの永続的な`CURLOPT_READDATA`ポインタからデータを読み込んで送信することを引き起こします。これには、再利用されたハンドル上で実行されたHTTP POSTリクエストなど、関連しない以前の操作からの残存データも含まれます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.