CVE-2026-3783 in cURL

摘要

由 VulDB • 2026-06-20

当 OAuth2 Bearer Token 用于 HTTP(S) 传输，且该传输重定向到第二个 URL 时，curl 在某些情况下可能会将该令牌泄露给第二个主机名。

如果第一个请求被重定向到的主机名在所使用的 .netrc 文件中包含 `machine` 或 `default` 关键字的信息，则 curl 会将为第一个主机设置的 Bearer Token 也传递给第二个主机。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: Curl
• 预定: 2026-03-08
• 披露: 2026-03-11
• 管理: 已接受
• 条目: VDB-350375
• CPE: 准备好
• CWE: CWE-522 (已确认)
• CVSS: 5.3 (CISA-ADP)
• EPSS: 0.00333
• KEV: 否
• 活动: 非常低
• 部门: Telecommunication, Energy, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-3783
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-3783
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-3783/