CVE-2026-7168

mediumPriorität · verfolgen · 21OT-Risiko · erhöhtEPSS 0.005 · 40. PerzentilDEEUFRRUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.47% (40th) EPSS

CVSS 5.3 · medium

Is it mine?

207 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-22

Successfully using libcurl to do a transfer over a specific HTTP proxy (`proxyA`) with **Digest** authentication and then changing the proxy host to a second one (`proxyB`) for a second transfer, reusing the same handle, makes libcurl wrongly pass on the `Proxy-Authorization:` header field meant for `proxyA`, to `proxyB`.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

5.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 1.4

v3.15.3mediumAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nsecondary · FSTEC (BDU) RU

v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:Nsecondary · ENISA EU

v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NsecondaryAusnutzbarkeit 3.9 · Auswirkung 1.4

v3.14.9mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: poc · Automatable: yes · Technical Impact: partialcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-294USprimärCWE-294US

betroffene Produkte (207)

Betroffene Produkte und Versionsbereiche.

Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:25.2.201
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:8.0-8.3
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:8.0-8.1
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:7.5.1
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:7.0.0
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:47.0.0.2.0
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:24.2.4-25.2.000
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:26.1.202
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:26.1.200
Communicationsalle Versionencert_bundDEcpe:/a:oracle:communications:25.2.202
Oracle Communications 11.0alle Versionencert_bundDEcpe:/a:oracle:communications:11.0
Oracle Communications 14.0alle Versionencert_bundDEcpe:/a:oracle:communications:14.0
Oracle Communications 15.0.0.0.0alle Versionencert_bundDEcpe:/a:oracle:communications:15.0.0.0.0
Oracle Communications 15.0.1.0.0alle Versionencert_bundDEcpe:/a:oracle:communications:15.0.1.0.0
Oracle Communications 15.1.0.0.0alle Versionencert_bundDEcpe:/a:oracle:communications:15.1.0.0.0
Oracle Communications 15.2.0.0.0alle Versionencert_bundDEcpe:/a:oracle:communications:15.2.0.0.0
Oracle Communications 25.1.100alle Versionencert_bundDEcpe:/a:oracle:communications:25.1.100
Oracle Communications 25.1.200alle Versionencert_bundDEcpe:/a:oracle:communications:25.1.200
Oracle Communications 25.2.100alle Versionencert_bundDEcpe:/a:oracle:communications:25.2.100
Oracle Communications 25.2.200alle Versionencert_bundDEcpe:/a:oracle:communications:25.2.200

20 von 207 angezeigt

Advisories (5)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-1307cURL: Mehrere SchwachstellenDeutsch2026-04-28csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in cURL ausnutzen, um Sicherheitsvorkehrungen zu umgehen, vertrauliche Informationen offenzulegen oder Daten zu manipulieren.
WID-SEC-W-2026-2929Splunk Splunk Enterprise: Mehrere SchwachstellenDeutsch2026-08-19csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Splunk Splunk Enterprise ausnutzen, um beliebigen Code auszuführen, Berechtigungen zu erweitern, Sicherheitsmaßnahmen zu umgehen, SQL-Injection-, serverseitige Request-Forgery- und Cross-Site-Scripting-Angriffe durchzuführen, sensible Informationen offenzulegen oder zu manipulieren, Denial-of-Service-Zustände auszulösen oder andere, nicht näher spezifizierte Angriffe durchzuführen.
WID-SEC-W-2026-4090Oracle Communications: Mehrere SchwachstellenDeutsch2026-10-20csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
CERTFR-2026-AVI-1351Multiples vulnérabilités dans Oracle MySQLFrançais2026-10-21vendor · certfrFR
CURL-CVE-2026-7168cross-proxy Digest auth state leak2026-04-29vendor · osvUS
Successfully using libcurl to do a transfer over a specific HTTP proxy (`proxyA`) with **Digest** authentication and then changing the proxy host to a second one (`proxyB`) for a second transfer, reusing the same handle, makes libcurl wrongly pass on the `Proxy-Authorization:` header field meant for `proxyA`, to `proxyB`.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund certfr osv NVD CVE.org MITRE

veröffentlicht 2026-05-13geändert 2026-06-17

verwandt (333)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2024-27348US	critical9.8OT kritisch	99.2% (100th)	KEV	2024-04-22
RCE-Remote Command Execution vulnerability in Apache HugeGraph-Server.This issue affects Apache HugeGraph-Server: from 1.0.0 before 1.3.0 in Java8 & Java11 Users are recommended t…
CVE-2023-23397US	critical9.8OT kritisch	97.2% (100th)	KEV	2023-03-14
Microsoft Outlook Elevation of Privilege Vulnerability
CVE-2017-3191US	critical9.8OT hoch	62.5% (99th)	—	2017-12-16
D-Link DIR-130 firmware version 1.23 and DIR-330 firmware version 1.12 are vulnerable to authentication bypass of the remote login page. A remote attacker that can access the remot…
CVE-2024-3596US	critical9.0OT hoch	14.9% (97th)	Exploit	2024-07-09
RADIUS Protocol under RFC 2865 is susceptible to forgery attacks by a local attacker who can modify any valid Response (Access-Accept, Access-Reject, or Access-Challenge) to any ot…
CVE-2017-6823US	high8.8OT hoch	8.04% (95th)	Exploit	2017-03-12
Fiyo CMS 2.0.6.1 allows remote authenticated users to gain privileges via a modified level parameter to dapur/ in an app=user&act=edit action.

+328 weitere

Referenzen (9)

Externe Belege — Patches, Meldungen, Analysen.

https://github.com/curl/curl/releasesPatchcnnvd
https://nvd.nist.gov/vuln/detail/CVE-2026-7168 cnnvd
https://curl.se/docs/CVE-2026-7168.html enisa_euvd
https://curl.se/docs/CVE-2026-7168.json enisa_euvd
https://hackerone.com/reports/3697719 enisa_euvd
http://www.openwall.com/lists/oss-security/2026/04/29/14Mailing ListPatchnvd
https://curl.se/docs/CVE-2026-7168.htmlPatchVendor Advisorynvd
https://curl.se/docs/CVE-2026-7168.jsonVendor Advisorynvd

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan