Descripción
Un proxy HTTP puede engañar a libcurl para que envíe las credenciales del origen (contraseña Basic o un ticket Negotiate/Kerberos) al propio proxy, respondiendo a la solicitud de túnel `CONNECT` con un 401 `WWW-Authenticate:` en lugar del 407 `Proxy-Authenticate:` esperado.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- curl Afectadas: 8.22.0 a 8.22.0 · 8.21.0 a 8.21.0 · 8.20.0 a 8.20.0 · 8.19.0 a 8.19.0 · 8.18.0 a 8.18.0 · 8.17.0 a 8.17.0 · 8.16.0 a 8.16.0 · 8.15.0 a 8.15.0 · 8.14.1 a 8.14.1 · 8.14.0 a 8.14.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en curl.securl.se/docs/CVE-2026-86414.json
- Referencia en curl.securl.se/docs/CVE-2026-86414.html
- Referencia en hackerone.comhackerone.com/reports/3993566
Ver el texto original en inglés (CVE.org)
leaking host credentials to HTTP proxy
An HTTP proxy can trick libcurl into sending the origin's credentials (Basic password, or a Negotiate/Kerberos ticket) to the proxy itself, by answering the `CONNECT` tunnel request with 401 `WWW-Authenticate:` instead of the expected 407 `Proxy-Authenticate:`.