- CWE-201
CVE-2026-86413
curl: Negotiate kimlik bilgilerinin yönlendirilen farklı kaynağa gönderilmesi
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 12 gün
- Kaydı açan
- curl
Yönetici özeti
Bu açık, sistemlerde kullanılan bir veri aktarım aracının kullanıcı kimlik bilgilerini yanlış bir hedefe gönderebilmesine yol açabilir. Kimlik bilgilerinin ele geçirilmesi, hesapların ve bağlı sistemlerin kötüye kullanılması riskini doğurur. Etkilenen sürümü kullanan sistemlerin öncelikli olarak güncellenmesi önerilir.
ÖzetTürkçe
curl, Negotiate kimlik doğrulaması kullanılırken ve yönlendirmeler takip edilecek şekilde ayarlandığında, ilk aktarımda 'ambient user' (ortam kullanıcısı) kullanılıyorsa, kimlik bilgilerini yönlendirme ile gelen ilgisiz ikinci bir kaynağa iletebilmektedir. Etkilenen sürümler 8.21.0 ve 8.22.0'dır.
Saldırgan ne yapabilir?
Saldırgan, kullanıcının kimlik bilgilerini kendi kontrolündeki farklı bir kaynağa yönlendirerek ele geçirebilir ve bu bilgilerle yetkisiz erişim sağlayabilir.
Kaynaktaki açıklama (İngilizce)
When using an *ambient user* in a first transfer doing Negotiate
authentication and asked to follow redirects, curl could pass on its
credential details to an unrelated second origin when asked to redirect there.
Ne yapmalı?
- Etkilenen sürümlerden (8.21.0 ve 8.22.0) çıkıp, satıcının belirttiği düzeltilmiş bir sürüme güncelleyin. Genel öneri
- Güncelleme yapılana kadar, Negotiate kimlik doğrulaması ile yönlendirmeleri birlikte kullanan betik ve uygulamalarda yönlendirme takibini devre dışı bırakmayı değerlendirin. Genel öneri
- Güncelleme sonrasında kurulu sürümü doğrulayın. Genel öneri
Ek önlemler
- Kimlik doğrulama gerektiren aktarımlarda yalnızca güvenilen hedeflere yönlendirme yapılmasına izin verin. Genel öneri
- Sunucu ve uygulama loglarında beklenmeyen yönlendirme veya farklı alan adlarına yapılan kimlik doğrulama isteklerini izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| curl | ≥ 8.22.0, ≤ 8.22.0 | – |
| ≥ 8.21.0, ≤ 8.21.0 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 9.1
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.