目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-87863— HSTS 响应清除已保存条目漏洞

一分钟漏洞结论

影响对象
curl curl
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

已认证的 HTTPS 源可以提供一个 HSTS 值，该值虽被解析器接受，但在后续的时间序列化过程中处理失败。在 64 位系统上，极端的 值计算出的绝对过期时间虽仍在标准时间整数范围内，却超出了日历时间结构（ 或相关结构体）的边界。在缓存保存过程中，原始 HSTS 文件会在写入临时替换文件之前被截断；当序列化失败时，临时文件会被删除，导致缓存变为空或部分缺失。由于在清理过程中保存错误被静默忽略，curl 即使发生了数据丢失，仍会成功退出。

AI 预测 4.9 利用难度: 中等 EPSS 0.27% · P19

影响版本矩阵 28

厂商产品 版本范围状态
curl curl 8.22.0≤ 8.22.0 affected
8.21.0≤ 8.21.0 affected
8.20.0≤ 8.20.0 affected
8.19.0≤ 8.19.0 affected
8.18.0≤ 8.18.0 affected
8.17.0≤ 8.17.0 affected
8.16.0≤ 8.16.0 affected
8.15.0≤ 8.15.0 affected
… +20 条更多
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-87863 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
HSTS response erases persisted entries
来源: CVE Program / CVE List V5
Vulnerability Description
An authenticated HTTPS origin can supply an HSTS `max-age` value that the parser accepts, but time serialization later fails to process. On 64-bit systems, extreme max-age values compute an absolute expiry within standard time integer limits that exceeds calendar time structure bounds. During cache saves, the original HSTS file is truncated before writing a temporary replacement; when serialization fails, the temporary file is deleted, leaving an empty or partial cache. Because the save error is silently ignored during cleanup, curl exits successfully despite the data loss.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
curl curl 8.22.0 ~ 8.22.0 -

二、漏洞 CVE-2026-87863 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-87863 的情报信息

请登录查看更多情报信息。

CVE-2026-87863 厂商页面 (1)

CVE-2026-87863 其他参考 (1)

同批安全公告 · curl · 2026-10-20 · 共 23 条

CVE-2026-92389 TFTP 方向混淆漏洞
CVE-2026-107928 GnuTLS WebSocket 上传信息泄露漏洞
CVE-2026-107929 本地接口连接复用混淆漏洞
CVE-2026-94266 libcurl 密码泄露漏洞
CVE-2026-94265 Negotiate 授权凭据被发送至外部站点
CVE-2026-86415 自动客户端证书连接复用混淆漏洞
CVE-2026-86414 存在向 HTTP 代理泄露主机凭证漏洞
CVE-2026-92390 curl 103 早期提示绕过 -J 不覆盖漏洞
CVE-2026-92387 服务器响应缺失导致无限循环漏洞
CVE-2026-92388 FTP 通配符写入回调混淆漏洞
CVE-2026-92386 Cookie 加载因 server-set 中断
CVE-2026-86409 SigV4 头发送过时导致意外请求漏洞
CVE-2026-92391 curl mime 递归栈溢出漏洞
CVE-2026-87865 KnownHost 回调误判密钥缺失漏洞
CVE-2026-87864 IMAP APPEND 命令注入漏洞
CVE-2026-87866 wolfSSL 公钥固定绕过漏洞
CVE-2026-87861 Negotiate 跨域连接重用漏洞
CVE-2026-87862 HSTS 缓存导入丢弃长生命周期子项漏洞
CVE-2026-86411 FTP 连接重用继承客户端证书漏洞
CVE-2026-86412 服务器 Set-Cookie 删除 Cookie 存储漏洞

显示前 20 条，共 23 条。 查看全部 → →

IV. Related Vulnerabilities

Same product: curl
Same vendor: curl