Originalbeschreibung
curl's WebSocket code did not update the 32-bit mask pattern for each new outgoing frame as the specification says. Instead it used a fixed mask that persisted and was used throughout the entire connection. A predictable mask pattern allows for a malicious server to induce traffic between the two communicating parties that could be interpreted by an involved proxy (configured or transparent) as genuine, real, HTTP traffic with content and thereby poison its cache. That cached poisoned content could then be served to all users of that proxy.
Betroffene Software
- curl ≥ 8.11.0 < 8.16.0 Behoben in: 8.16.0 exakte Übereinstimmung
Details
- Veröffentlicht
- 2025-09-12
- Zuletzt geändert
- 2026-10-19
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N- CWE
- CWE-340
Referenzen
- cve.org/CVE-2025-10148
- nvd.nist.gov/vuln/detail/CVE-2025-10148
- curl.se/docs/CVE-2025-10148.html
- curl.se/docs/CVE-2025-10148.json
- hackerone.com/reports/3330839
- www.openwall.com/lists/oss-security/2025/09/10/2
- www.openwall.com/lists/oss-security/2025/09/10/3
- www.openwall.com/lists/oss-security/2025/09/10/4
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.