Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Curl opravuje 2 zranitelnosti
Curl verzí 8.16.0 opravuje 2 zranitelnosti [1][2].
Neautentizovanému vzdálenému útočníkovi je za určitých nepředvídatelných okolností umožněno přepsat soubor cookie s atributem "Secure" nebo provést DoS útok [1].
Zranitelnost se nachází v produktu:
- Curl; >=7.31.0, <8.16.0;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:H
Více informací:
- CVE-2025-9086 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je za určitých specifických okolností umožněno podvrhnout WebSocket komunikaci a způsobit tak otrávení cache v proxy, která bude komunikaci považovat za platný HTTP obsah. Podmínkou zneužití zranitelnosti je nešifrovaná komunikace pomocí protokolu WebSocket [2].
Zranitelnost se nachází v produktu:
- Curl; >=8.11.0, <8.16.0;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2025-10148 na cve.org, NVD
- CWE-340: Generation of Predictable Numbers or Identifiers na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 9. 2025.
Za CESNET, z.s.p.o. Martin Krajči dne 15. 9. 2025.