Descripción
Al procesar una redirección HTTP a una URL que contiene userinfo (un componente `username:password`), curl podría conservar y retransmitir por error el estado de autenticación HTTP Negotiate del host original. En consecuencia, un servidor malicioso puede provocar una redirección que contenga userinfo arbitrario para forzar a curl a enviar un ticket Kerberos recién generado (creado con la identidad del entorno del proceso cliente) a un host de terceros no confiable, eludiendo en la práctica las restricciones de alcance de dominio que normalmente se aplican cuando no se usa `--location-trusted`.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- curl Afectadas: 8.22.0 a 8.22.0 · 8.21.0 a 8.21.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en curl.securl.se/docs/CVE-2026-94265.json
- Referencia en curl.securl.se/docs/CVE-2026-94265.html
- Referencia en hackerone.comhackerone.com/reports/4040551
Ver el texto original en inglés (CVE.org)
Authorization: Negotiate sent to foreign origin
When processing an HTTP redirect to a URL containing userinfo (a `username:password` component), curl might erroneously retain and re-transmit the original host's HTTP Negotiate authentication state. Consequently, a malicious server can trigger a redirect containing arbitrary userinfo to force curl to send a freshly minted Kerberos ticket—generated using the ambient identity of the client process to an untrusted third-party host, effectively bypassing the domain-scoping restrictions normally enforced by the absence of `--location-trusted`.