Chyba ve způsobu, jakým nástroj Curl zajišťuje nahrávání dat přes HTTP/2, umožňuje škodlivému serveru, který přijímá nahrávané soubory, poškodit paměť klienta. Objevitel chyby dokázal chybu zneužít ke spuštění kódu na klientském počítači, z něhož se soubory nahrávají.

Projekt tuto chybu opravil 14. října ve verzi 8.23.0. Převzetí kontroly nad klientem vyžaduje přesnou znalost jeho sestavení a uspořádání paměti. Vývojáři předpokládají, že skutečný útok ve většině případů skončí zápisem mimo paměť a pádem procesu.

Chyba je označena jako CVE-2026–92392 a týká se nástroje curl a knihovny libcurl ve verzích od 8.12.0 do 8.22.0. Knihovna je ovšem používána pro přenos dat v mnoha dalších nástrojích, takže mohou být zasaženy i jiné programy.

Útok probíhá na straně serveru a klient musí pomocí protokolu HTTP/2 nahrát soubor o velikosti přibližně 135 KB na server ovládaný útočníkem, přičemž certifikát serveru musí projít kontrolami prováděnými klientem. Po ukončení přenosu zůstane v programu odkaz na už uvolněnou část paměti. Při následném zpracování odpovědi může škodlivý server dostat svá data právě do této oblasti a změnit v ní ukazatel na funkci, kterou pak libcurl zavolá.