Curl brengt update uit die meer dan twintig kwetsbaarheden verhelpt, waaronder een 'high' remote code execution-kwetsbaarheid gevonden door AI-bedrijf Anthropic.
Er is een nieuwe versie van Curl beschikbaar die meer dan twintig beveiligingsproblemen oplost, waaronder een kwetsbaarheid die remote code execution (RCE) mogelijk maakt. Deze kwetsbaarheid, aangeduid als CVE-2026-92392, werd ontdekt door het AI-bedrijf Anthropic.
Hoewel het beveiligingslek het uitvoeren van code op afstand toestaat, is de impact beoordeeld als 'high' en niet als kritiek. Volgens Curl-maintainer Daniel Stenberg is misbruik van deze kwetsbaarheid lastig, maar hij noemt het alsnog een 'nasty' probleem. De kwetsbaarheid kan optreden wanneer bestanden via Curl worden geüpload naar een malafide server, wat kan leiden tot een use-after-free situatie. Hierdoor kan de server code uitvoeren op het systeem van de client.
Kwetsbaarheden met een 'high' impact zijn zeldzaam in Curl; sinds 2021 zijn er slechts twee dergelijke gevallen geweest, wat ook in de blog van Stenberg wordt bevestigd over zeldzame high-impact kwetsbaarheden. Gebruikers en beheerders worden geadviseerd om te upgraden naar Curl versie 8.23.0, waarin deze en andere problemen zijn verholpen.
