CVE-2025-10148 in cURL

摘要

由 VulDB • 2026-08-09

curl 的 WebSocket 代码未按照规范为每个新发出的帧更新 32 位掩码模式，而是使用了一个固定且在整个连接过程中持续使用的掩码。

可预测的掩码模式允许恶意服务器诱导通信双方之间的流量，这些流量可能被参与的代理（配置型或透明型）解释为带有内容的真实、合法的 HTTP 流量，从而污染其缓存。随后，该被污染的缓存内容可能会被提供给该代理的所有用户。

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• 披露: 2025-09-12
• 管理: 已接受
• 条目: VDB-323607
• CPE: 准备好
• CWE: CWE-340 (已确认)
• CVSS: 5.6 (VulDB)
• EPSS: 0.00499
• KEV: 否
• 活动: 非常低
• 部门: Hostingprovider, Pharma, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-10148
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-10148
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-10148/