CVE-2026-11586

7.5 Élevée

Publiée le 03/07/2026 à 09:16 · Modifiée le 15/09/2026 à 09:16 · Modifiée · Source : 2499f714-1537-4658-8207-48ae4bb9eae9

Description

By default, curl automatically responds to WebSocket PING frames. Because curl lacks an upper bound on memory allocation for unacknowledged frames, a malicious server can exhaust all available memory by flooding curl with rapid, sequential PING messages.

Traduire en français

Produits concernés

curl
Haxx curl

Scores CVSS

Version	Score	Source	Vecteur
3.1	7.5 Élevée	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H`

Faiblesses (CWE)

CWE-770

Références

https://curl.se/docs/CVE-2026-11586.html PatchVendor Advisory
https://curl.se/docs/CVE-2026-11586.json Vendor Advisory
https://hackerone.com/reports/3788931 ExploitIssue TrackingThird Party Advisory

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories