libcurl CVE-2026-9546 Referer Header Information Leak Vulnerability

脆弱性概要 脆弱性ID: CVE-2026-9546 説明: libcurlでは、明示的にクリアしても、HTTP "Referer" ヘッダーは保持されます。ドキュメントによると、 に を渡すことでこのヘッダーをクリアできると記載されていますが、このオプションは内部状態をクリアできませんでした。その結果、以前の参照文字列が誤って保持され、後続のリクエストで送信されることがあり、想定外のサーバーに機密情報が漏洩する可能性があります。 影響範囲 影響を受けるバージョン: - 8.28.0 - 8.19.0 - 8.18.0 修正方法 修正バージョン: - 8.21.0 - 8.21.0 (GIT) 詳細情報 データベース固有情報: - パッケージ: curl - 影響: lib - URL: https://curl.se/docs/CVE-2026-9546.json - 出典: https://curl.se/docs/CVE-2026-9546.html - 問題報告: https://hackerone.com/reports/3754343 - CWE: CWE-200 - CVSS: 記載なし - 最終影響バージョン: 8.20.0 - CVSS v3: 記載なし - 公開日: 2026-06-24T08:00:00.002Z - 影響範囲: - タイプ: SERVER - 導入バージョン: 8.18.0 - 修正バージョン: 8.21.0 - タイプ: GIT - リポジトリ: https://github.com/curl/curl.git - 導入コミット: 3cb868242dc2ac9cd52ee4987ef510984a56f9 - 修正コミット: 860eb8a4a8447682973713af498c7f46c1788e - バージョン: - 8.28.0 - 8.19.0 - 8.18.0 - クレジット: - 氏名: renjian on hackerone - タイプ: FINDER（発見者） - 氏名: Daniel Stenberg - タイプ: REDIRECTION DEVELOPER（リダイレクト開発者） 詳細 説明: libcurlでは、明示的にクリアしても、HTTP "Referer" ヘッダーは保持されます。ドキュメントによると、 に を渡すことでこのヘッダーをクリアできると記載されていますが、このオプションは内部状態をクリアできませんでした。その結果、以前の参照文字列が誤って保持され、後続のリクエストで送信されることがあり、想定外のサーバーに機密情報が漏洩する可能性があります。

目標達成 すべての支援者に感謝 — 100%達成しました！

libcurl CVE-2026-9546 Referer Header Information Leak Vulnerability

目標達成すべての支援者に感謝 — 100%達成しました！