curl 7.62.0 through 7.70.0 is vulnerable to an information disclosure vulnerability that can lead to a partial password being leaked over th

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• debian debian linux10.0
• haxx curl7.62.0 ve sonrası · 7.70.0 dahil
• siemens simatic tim 1531 irc firmware2.2 öncesi
• siemens sinec infrastructure network services1.0.1.1 öncesi
• splunk universal forwarder8.2.0 ve sonrası · 8.2.12 öncesi
• splunk universal forwarder9.0.0 ve sonrası · 9.0.6 öncesi
• splunk universal forwarder9.1.0

Üreticinin bildirdiği sürümler

Kaydı açan otorite (hackerone) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• n/a https://github.com/curl/curl

  • libcurl 7.62.0 to and including 7.70.0etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2021-22901curl 7.75.0 through 7.76.1 suffers from a use-after-free vulnerability resulting in already freed memory being used when a TLS 1.3 session t
  50Planlayın
• CVE-2023-38039When curl retrieves an HTTP response, it stores the incoming headers so that they can be accessed later via the libcurl headers API.
  47Planlayın
• CVE-2024-2398HTTP/2 push headers memory-leak
  45Planlayın
• CVE-2019-5482Heap buffer overflow in the TFTP protocol handler in cURL 7.19.4 to 7.65.3.
  44Planlayın
• CVE-2017-8817The FTP wildcard function in curl and libcurl before 7.57.0 allows remote attackers to cause a denial of service (out-of-bounds read and app
  42Planlayın
• CVE-2017-8816The NTLM authentication feature in curl and libcurl before 7.57.0 on 32-bit platforms allows attackers to cause a denial of service (integer
  42Planlayın

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Eklenti işlevi için gerekenden geniş izin istiyor ve topladığı veriyi amacı dışında dışarı gönderiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.