Native CA trust persist (curl curl)
En bref
- Source
- NVD
- EPSS
- EPSS 0.61 % · centile 49 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- curl
- Statut NVD
- Modified
Description
libcurl keeps previously used connections in a connection pool for subsequent transfers to reuse if one of them matches the setup. An easy handle that first uses default native CA trust can continue trusting the native platform store after the application switches that same handle to custom CA material for a later transfer.
Faiblesses (CWE)
- CWE-295 — Validation incorrecte de certificat
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | CRITICAL 9.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | CISA-ADP |
| CVSS 3.1 | CRITICAL 9.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Références européennes
- ENISA EUVD · EUVD-2026-41499
- GCVE · GCVE-0-2026-11564
Avis du CERT-FR
- CERTFR-2026-AVI-1390 — Multiples vulnérabilités dans Tenable Network Monitor · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
- CERTFR-2026-AVI-1023 — Multiples vulnérabilités dans Tenable Security Center · cert.ssi.gouv.fr
- CERTFR-2026-AVI-0797 — Multiples vulnérabilités dans cURL et libcurl · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:*≥ 8.17.0 < 8.21.0
Produits affectés
| Produit | Versions |
|---|---|
| curl · curl | affected 8.17.0 < 8.20.1 |
| curl · curl | affected eefd03c572996e5de4dec4fe295ad6f103e0eefc < d69bfad3fa3daf5e72331f6870667607828d5891 |
| curl · curl | affected 8.20.0 ; affected 8.19.0 ; affected 8.18.0 ; affected 8.17.0 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |