CVE-2026-82209 in libcurl
요약
\~에 의해 VulDB • 2026. 09. 07.
libpsl 지원이 활성화된 경우, libcurl은 `Domain` 속성이 공개 접미사(public suffix)와 명시적으로 일치하는(예: `co.uk`가 `co.uk`에 의해 설정됨) `Set-Cookie` 헤더를 처리할 때 공개 접미사 목록(Public Suffix List)의 경계 검증을 강제하지 않습니다.
libcurl은 이를 엄격한 호스트 전용 쿠키로 제한(coercing)하는 대신, 와일드카드 도메인 범위(`.co.uk`)로 쿠키를 저장합니다. 결과적으로 해당 쿠키는 동일한 공개 접미사(예: `attacker.co.uk`) 아래의 임의의 형제 하위 도메인으로 향하는 후속 외부 요청 또는 HTTP 리디렉션에 부적절하게 포함됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.