CVE-2026-92392
HTTP/2 téléversement Use-After-Free
- Publié
- 14 oct. 2026
- Mise à jour
- 20 oct. 2026
- Attribution de CNA
- curl
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 70,2 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Lors d'un téléversement, curl gère incorrectement un `RST_STREAM` HTTP/2 reçu du serveur (avec la raison `HTTP_1_1_REQUIRED` ou `REFUSED_STREAM`), ce qui entraîne une utilisation après libération d'un objet `struct Curl_easy`.
Sources
Vérifie les builds locaux de curl/libcurl pour l'exposition à la faille use-after-free lors des uploads HTTP/2 de CVE-2026-92392, avec un inventaire passif, l'analyse d'images montées et une sonde PoC bornée en boucle locale.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.