CVE-2026-12064

Nome do Software Vulnerável e Versões Afetadas curl (versões afetadas não especificadas)

Descrição Ocorre uma desconexão entre a camada de ferramenta e o libcurl quando um usuário invoca o curl com uma URL sem esquema e a opção --proto-default definida como sftp ou scp. A camada de ferramenta infere incorretamente o esquema da URL, o que ignora a inicialização de opções críticas de segurança SSH, especificamente CURLOPT SSH HOST PUBLIC KEY SHA256 e CURLOPT SSH KNOWNHOSTS. Embora o tempo de execução do libcurl ainda estabeleça a conexão via SFTP ou SCP, a omissão dessas opções de verificação de host permite que o curl se conecte a um host remoto SSH não verificado sem gerar um erro.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.