CVE-2024-2004

Versões do cURL (versões afetadas não especificadas)

O problema está relacionado a um erro na lógica de remoção de protocolos quando uma opção de parâmetro de seleção de protocolo desativa todos os protocolos sem adicionar nenhum. Isso permite que o conjunto padrão de protocolos permaneça no conjunto permitido. A falha pode ser demonstrada com o comando curl --proto -all,-http http://curl.se, que realiza uma solicitação ao curl.se com um protocolo de texto simples que foi explicitamente desativado. A equipe de segurança do curl classificou isso como um bug de baixa gravidade, observando que é improvável que ocorra em situações reais devido ao seu caso de uso impraticável.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.