CVE-2026-92392
HTTP/2 अपलोड Use-After-Free
- प्रकाशित
- 14 अक्टू॰ 2026
- अद्यतन
- 20 अक्टू॰ 2026
- सीएनए असाइन करना
- curl
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 70.2%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
अपलोड के दौरान, curl सर्वर से प्राप्त HTTP/2 `RST_STREAM` (कारण `HTTP_1_1_REQUIRED` या `REFUSED_STREAM` के साथ) को गलत तरीके से संभालता है, जिससे `struct Curl_easy` ऑब्जेक्ट का use after free हो जाता है।
स्रोत
स्थानीय curl/libcurl बिल्ड्स की CVE-2026-92392 HTTP/2 अपलोड use-after-free जोखिम के लिए जाँच करता है, जिसमें निष्क्रिय इन्वेंटरी, माउंटेड-इमेज स्कैनिंग, और एक सीमित लूपबैक PoC प्रोब शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।