Using libcurl, when a custom `Host:` header is first set for an HTTP request
and a second request is subsequently done using the same *easy handle* but
without the custom `Host:` header set, the second request would use stale
information and pass on cookies meant for the first host in the second
request. Leak them.
CVE-2026-6276 is a cookie leakage vulnerability in libcurl where reusing an easy handle without resetting a custom Host header causes cookies from the first request to be sent to the second host. This affects applications that make multiple HTTP requests with the same connection handle, potentially exposing sensitive session data.
يحدث هذا الضعف عندما يتم إعادة استخدام مقبض libcurl الذي تم تعيين رأس Host مخصص له دون إعادة تعيينه للطلب الثاني، مما يؤدي إلى تمرير ملفات تعريف الارتباط المخصصة للمضيف الأول إلى المضيف الثاني. يؤثر هذا على التطبيقات التي تقوم بطلبات HTTP متعددة باستخدام نفس كائن الاتصال.
A cookie leakage vulnerability in libcurl allows sensitive cookies from one host to be leaked to another host when reusing connection handles without properly resetting custom Host headers. This impacts applications making sequential HTTP requests with shared connection objects.
Update libcurl to the latest patched version immediately. Review and audit all applications using libcurl for proper connection handle management. Implement separate easy handles for requests to different hosts or explicitly reset Host headers between requests. Enable HTTP cookie security policies and implement additional session validation mechanisms.
قم بتحديث libcurl إلى أحدث إصدار معدل فوراً. راجع جميع التطبيقات التي تستخدم libcurl للتأكد من إدارة صحيحة لمقابض الاتصال. استخدم مقابض منفصلة للطلبات إلى مضيفين مختلفين أو أعد تعيين رؤوس Host بشكل صريح. طبق سياسات أمان ملفات تعريف الارتباط وآليات التحقق من الجلسة الإضافية.