Descripción
Al usar credenciales ambientales del usuario, una solicitud HTTP dirigida a un origen puede enviarse a través de una conexión previamente autenticada mediante Negotiate para un origen distinto, lo que deja sin usar las credenciales previstas para la solicitud.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- curl Afectadas: 8.22.0 a 8.22.0 · 8.21.0 a 8.21.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en curl.securl.se/docs/CVE-2026-87861.json
- Referencia en curl.securl.se/docs/CVE-2026-87861.html
- Referencia en hackerone.comhackerone.com/reports/3972094
Ver el texto original en inglés (CVE.org)
cross-origin reuse of a Negotiate connection
When using ambient user credentials, an HTTP request directed to one origin may be dispatched over a connection previously authenticated via Negotiate for a different origin, leaving the request's intended credentials unused.