CVE-2025-10148

mediumPriorität · verfolgen · 0EPSS 0.005 · 44. PerzentilDEEUFRNLUS
grimoire priorityP3 · Track
Exploitable?
—
no known exploitation
Likely / severe?
0.52% (44th) EPSS
CVSS 5.3 · medium
Is it mine?
127 products
Prüfe deine Angriffsfläche
Who says so?
8 sources
cnnvd · enisa_euvd · cert_bund · ncsc_nl

EPSS · bewertet 2026-10-22

curl's WebSocket code did not update the 32-bit mask pattern for each new outgoing frame as the specification says. Instead it used a fixed mask that persisted and was used throughout the entire connection. A predictable mask pattern allows for a malicious server to induce traffic between the two communicating parties that could be interpreted by an involved proxy (configured or transparent) as genuine, real, HTTP traffic with content and thereby poison its cache. That cached poisoned content could then be served to all users of that proxy.

01

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

02

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

5.3
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nsecondary · CISA US
v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nsecondary · ENISA EU
v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NsecondaryAusnutzbarkeit 3.9 · Auswirkung 1.4
v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nsecondary · Siemens ProductCERT DE
v3.14.9mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)
v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nsecondary · NCSC-NL NL
03

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS
04

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-340USCWE-340USCWE-340USCWE-340US
05

betroffene Produkte (127)

Betroffene Produkte und Versionsbereiche.

20 von 127 angezeigt
06

Advisories (10)

Hersteller- und Ökosystem-Meldungen dazu.

  • NCSC-2025-0382Kwetsbaarheden verholpen in Siemens productenNL2025-12-09csaf · ncsc_nlNL

    Siemens heeft kwetsbaarheden verholpen in diverse producten als Building X, COMOS, Energy Services, Gridscale X, NX, RUGGEDCOM, SICAM, SIMATIC, SINEC, SINEMA, SIPLUS en Solid Edge.

  • SSA-089022SSA-089022: Multiple Vulnerabilities in Third-Party Components in SINEC OS before V3.32026-01-28csaf · siemens_psirtDE

    SINEC OS before V3.3 contains third-party components with multiple vulnerabilities. Siemens has released new versions for the affected products and recommends to update to the latest versions.

  • SSA-212953SSA-212953: Multiple Vulnerabilities in COMOS2025-12-09csaf · siemens_psirtDE

    COMOS is affected by multiple vulnerabilities that could allow an attacker to execute arbitrary code or cause denial of service condition, data infiltration or perform access control violations. Siemens has released new versions for the affected products and recommends to update to the latest versions.

  • WID-SEC-W-2025-2023cURL: Mehrere Schwachstellen ermöglichen Manipulation von DateienDeutsch2025-09-09csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in cURL ausnutzen, um Dateien zu manipulieren.

  • WID-SEC-W-2026-1730Xerox FreeFlow Print Server: Mehrere Schwachstellen ermöglichen nicht spezifizierten AngriffDeutsch2026-05-28csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in Xerox FreeFlow Print Server ausnutzen, um einen nicht näher spezifizierten Angriff durchzuführen.

  • WID-SEC-W-2026-2189Dell PowerProtect Data Domain: Mehrere SchwachstellenDeutsch2026-07-02csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in Dell PowerProtect Data Domain ausnutzen, um seine Privilegien zu erhöhen um beliebigen Programmcode auszuführen, um Sicherheitsvorkehrungen zu umgehen, um einen Denial of Service Angriff durchzuführen, um einen Cross-Site Scripting Angriff durchzuführen, um Informationen offenzulegen, und um Dateien zu manipulieren.

  • ICSA-26-043-03Siemens COMOS2025-12-09icsa · cisa_csaf_otUS

    COMOS is affected by multiple vulnerabilities that could allow an attacker to execute arbitrary code or cause denial of service condition, data infiltration or perform access control violations. Siemens has released new versions for the affected products and recommends to update to the latest versions.

  • ICSA-26-043-06Siemens SINEC OS2026-01-28icsa · cisa_csaf_otUS

    SINEC OS before V3.3 contains third-party components with multiple vulnerabilities. Siemens has released new versions for the affected products and recommends to update to the latest versions.

  • CERTFR-2026-AVI-1351Multiples vulnérabilités dans Oracle MySQLFrançais2026-10-21vendor · certfrFR
  • CURL-CVE-2025-10148predictable WebSocket mask2025-09-10vendor · osvUS

    curl's WebSocket code did not update the 32-bit mask pattern for each new outgoing frame as the specification says. Instead it used a fixed mask that persisted and was used throughout the entire connection. A predictable mask pattern allows for a malicious server to induce traffic between the two communicating parties that could be interpreted by an involved proxy (configured or transparent) as genuine, real, HTTP traffic with content and thereby poison its cache. That cached poisoned content could then be served to all users of that proxy.

07

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

08

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdcert_bundncsc_nlsiemens_psirtcisa_csaf_otcertfrosvNVDCVE.orgMITRE
veröffentlicht 2025-09-12geändert 2026-10-19
09

Referenzen (14)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan