🛡 xj1.fr/cve
FICHE CVE

CVE-2021-22946

Publiée le 2021-09-29 · Dernière modification le 2026-10-14

🇫🇷 EN BREF

Les versions de curl 7.20.0 à 7.78.0 sont concernées lorsqu'elles sont configurées pour exiger le TLS pour les connexions IMAP, POP3 ou FTP. Un attaquant distant contrôlant le serveur peut tromper curl pour contourner le chiffrement et envoyer des données en texte clair, lui permettant ainsi d'intercepter des informations sensibles. Cette action peut être exécutée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE
Type de faiblesse
CWE-325Secrets transmis en clair · CWE-319
Publiée2021-09-29
Dernière modification2026-10-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéÉlevé
Impact sur l'intégritéAucun
Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

A user can tell curl >= 7.20.0 and <= 7.78.0 to require a successful upgrade to TLS when speaking to an IMAP, POP3 or FTP server (`--ssl-reqd` on the command line or`CURLOPT_USE_SSL` set to `CURLUSESSL_CONTROL` or `CURLUSESSL_ALL` withlibcurl). This requirement could be bypassed if the server would return a properly crafted but perfectly legitimate response.This flaw would then make curl silently continue its operations **withoutTLS** contrary to the instructions and expectations, exposing possibly sensitive data in clear text over the network.