Un upload HTTP/2 può trasformare curl in un punto di esecuzione
curl e libcurl 8.12.0–8.22.0 contengono CVE-2026-92392, una use-after-free su upload HTTP/2 corretta in 8.23.0. Il caso conta perché il problema nasce dal lato client: un server HTTPS malevolo, ma con certificato valido, può far corrompere la memoria del client durante un upload.
Nel flusso difettoso, il server può chiudere uno stream in modo da liberare troppo presto stato interno che curl usa ancora dopo. Il risultato normale è un crash; in una prova di concetto, con build e layout di memoria precisi, è stato mostrato anche code execution sulla macchina che stava caricando i dati. Poiché libcurl è incorporato in molte applicazioni, il raggio d’azione va oltre la CLI e tocca software che eredita HTTP/2 upload dalla libreria.
Per chi integra libcurl, la domanda non è solo se curl è aggiornato, ma se lo è ogni componente che lo usa per upload verso endpoint HTTPS esterni. Finché resta una versione vulnerabile in catena, l’esposizione si sposta sulle integrazioni in uscita e non sul solo server che riceve i dati.