CVE-2026-92392

AltoPublicado

HTTP/2 carga Use-After-Free

Publicado: 14 oct 2026
Actualizado: 20 oct 2026
Asignación de CNA: curl
Evidencia observada: 4 nov 2026

CVSS primario

8,1/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

1,3 %

Bajo · próximos 30 días

Percentil: 70,2 %
Fecha del modelo: 4 nov 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

Durante una carga, curl gestiona incorrectamente el `RST_STREAM` de HTTP/2 recibido del servidor (con motivo `HTTP_1_1_REQUIRED` o `REFUSED_STREAM`), lo que provoca un use after free de un objeto `struct Curl_easy`.

Fuentes

CVE-2026-92392PoC
Comprueba las compilaciones locales de curl/libcurl en busca de exposición a use-after-free en la carga HTTP/2 de CVE-2026-92392, con inventario pasivo, escaneo de imágenes montadas y una sonda PoC de loopback acotada.

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.