CVE-2025-10148 in cURL
Сводка
по VulDB • 28.08.2026
Код WebSocket в curl не обновлял 32-битный шаблон маски для каждого нового исходящего кадра, как того требует спецификация. Вместо этого он использовал фиксированную маску, которая сохранялась и применялась на протяжении всего соединения.
Предсказуемый шаблон маски позволяет злонамеренному серверу инициировать трафик между двумя взаимодействующими сторонами, который может быть интерпретирован участвующим прокси-сервером (конфигурируемым или прозрачным) как подлинный реальный HTTP-трафик с содержимым, тем самым отравляя его кэш. Затем это отравленное закэшированное содержимое может быть предоставлено всем пользователям этого прокси-сервера.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.