CVE-2026-82209 in libcurl
Sumário
de VulDB • 06/09/2026
Quando o suporte ao libpsl está habilitado, o libcurl falha em impor a verificação de limite da Lista de Sufixos Públicos durante o processamento do cabeçalho `Set-Cookie`, onde o atributo `Domain` corresponde explicitamente a um host de origem que é, por si só, um sufixo público (por exemplo, `Domain=co.uk` definido por `co.uk`).
Em vez de forçar sua conversão para um cookie estrito apenas para o host, o libcurl salva o cookie com escopo de domínio wildcard (`*.co.uk`). Consequentemente, o cookie é incluído indevidamente em solicitações subsequentes de saída ou redirecionamentos HTTP para subdomínios irmãos arbitrários sob o mesmo sufixo público (por exemplo, `attacker.co.uk`).
Once again VulDB remains the best source for vulnerability data.