CVE-2026-8924

Curl: obejście sprawdzania Public Suffix List przy parsowaniu cookies

CVSS 9.1pub. 2026-07-03upd. 2026-07-07

Błąd w logice parsowania cookies w bibliotece curl umożliwia złośliwemu serwerowi HTTP ustawienie tzw. 'super cookies', które omijają weryfikację listy Public Suffix List. Jest to groźne, ponieważ pozwala atakującemu wstrzykiwać cookies przesyłane następnie do niezwiązanych, zewnętrznych domen.

▸ Pokaż oryginał (EN)

A flaw in curl’s cookie parsing logic allows a malicious HTTP server to set 'super cookies' that bypass the Public Suffix List check. This enables an attacker-controlled origin to inject cookies that curl subsequently scopes and transmits to unrelated third-party domains.

🤖 Analiza AI

Jak działa

Złośliwy serwer HTTP wysyła odpowiedź zawierającą specjalnie spreparowane cookies, które ze względu na błąd w logice parsowania curl omijają weryfikację Public Suffix List. Mechanizm ten normalnie zapobiega przypisywaniu cookies do zbyt szerokich zakresów domenowych (np. całych domen najwyższego poziomu). W wyniku błędu curl traktuje wstrzyknięte cookies jako prawidłowe i przesyła je do niezwiązanych domen trzecich podczas kolejnych żądań.

Skutki

Atakujący kontrolujący złośliwy serwer HTTP może wstrzyknąć cookies do sesji curl, które zostaną przesłane do niezamierzonych domen trzecich, co prowadzi do wycieku poufnych danych sesyjnych oraz potencjalnego przejęcia sesji użytkownika w tych domenach.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://curl.se/docs/CVE-2026-8924.html). Dodatkowo zaleca się ograniczenie możliwości komunikacji curl ze złośliwymi lub niezaufanymi serwerami HTTP, a tam gdzie to możliwe — wyłączenie obsługi cookies za pomocą opcji --cookie-jar lub odpowiednika w API (jeśli funkcjonalność nie jest wymagana).