CVE-2022-27774

At a glance

Severity: MEDIUM 5.7
EPSS: EPSS 2.01 % · percentile 81 (2026-10-27)
State: PUBLISHED
Published: 2022-06-01
Updated: 2026-10-14
Assigner: hackerone
NVD status: Modified

Description

An insufficiently protected credentials vulnerability exists in curl 4.9 to and include curl 7.82.0 are affected that could allow an attacker to extract credentials when follows HTTP(S) redirects is used with authentication could leak credentials to other services that exist on different protocols or port numbers.

Scores

Version	Score	Vector	Scored by
CVSS 3.1	MEDIUM 5.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N	CISA-ADP
CVSS 3.1	MEDIUM 5.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N	NVD · nvd@nist.gov (Primary)
CVSS 3.1	MEDIUM 5.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)
CVSS 2.0	LOW 3.5	AV:N/AC:M/Au:S/C:P/I:N/A:N	NVD · nvd@nist.gov (Primary)

Weaknesses (CWE)

CWE-522

European references

ENISA EUVD · EUVD-2022-32270
GCVE · GCVE-0-2022-27774

CERT-FR advisories

CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0218 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-1057 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2023-AVI-1015 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
CERTFR-2023-AVI-0499 — Multiples vulnérabilités dans Tenable Nessus Network Monitor · cert.ssi.gouv.fr
CERTFR-2023-AVI-0428 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
CERTFR-2023-AVI-0174 — Multiples vulnérabilités dans IBM QRadar · cert.ssi.gouv.fr
CERTFR-2022-AVI-836 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-831 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-723 — Multiples vulnérabilités dans IBM MQ · cert.ssi.gouv.fr
CERTFR-2022-AVI-570 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:* ≥ 4.9 ≤ 7.82.0
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
cpe:2.3:o:netapp:hci_bootstrap_os:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:clustered_data_ontap:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:solidfire_\&_hci_management_node:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:solidfire_\&_hci_storage_node:-:*:*:*:*:*:*:*
cpe:2.3:o:broadcom:fabric_operating_system:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h300s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h500s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h700s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h410s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:* ≥ 8.2.0 < 8.2.12
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:* ≥ 9.0.0 < 9.0.6
cpe:2.3:a:splunk:universal_forwarder:9.1.0:*:*:*:*:*:*:*

Affected products

Product	Versions
https://github.com/curl/curl	affected curl 4.9 to and include curl 7.82.0 are affected

References

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD