CVE-2022-27774

En bref

Sévérité: MEDIUM 5.7
EPSS: EPSS 2.01 % · centile 81 (2026-10-27)
État: PUBLISHED
Publiée: 2022-06-01
Mise à jour: 2026-10-14
Attribuée par: hackerone
Statut NVD: Modified

Description

An insufficiently protected credentials vulnerability exists in curl 4.9 to and include curl 7.82.0 are affected that could allow an attacker to extract credentials when follows HTTP(S) redirects is used with authentication could leak credentials to other services that exist on different protocols or port numbers.

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	MEDIUM 5.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N	CISA-ADP
CVSS 3.1	MEDIUM 5.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N	NVD · nvd@nist.gov (Primary)
CVSS 3.1	MEDIUM 5.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)
CVSS 2.0	LOW 3.5	AV:N/AC:M/Au:S/C:P/I:N/A:N	NVD · nvd@nist.gov (Primary)

Faiblesses (CWE)

CWE-522

Références européennes

ENISA EUVD · EUVD-2022-32270
GCVE · GCVE-0-2022-27774

Avis du CERT-FR

CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0218 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0199 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-1057 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0622 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2023-AVI-1015 — Multiples vulnérabilités dans les produits Siemens · cert.ssi.gouv.fr
CERTFR-2023-AVI-0701 — Multiples vulnérabilités dans Splunk · cert.ssi.gouv.fr
CERTFR-2023-AVI-0499 — Multiples vulnérabilités dans Tenable Nessus Network Monitor · cert.ssi.gouv.fr
CERTFR-2023-AVI-0428 — Multiples vulnérabilités dans les produits Splunk · cert.ssi.gouv.fr
CERTFR-2023-AVI-0174 — Multiples vulnérabilités dans IBM QRadar · cert.ssi.gouv.fr
CERTFR-2022-AVI-836 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-831 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-723 — Multiples vulnérabilités dans IBM MQ · cert.ssi.gouv.fr
CERTFR-2022-AVI-570 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:haxx:curl:*:*:*:*:*:*:*:* ≥ 4.9 ≤ 7.82.0
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
cpe:2.3:o:netapp:hci_bootstrap_os:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:clustered_data_ontap:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:solidfire_\&_hci_management_node:-:*:*:*:*:*:*:*
cpe:2.3:a:netapp:solidfire_\&_hci_storage_node:-:*:*:*:*:*:*:*
cpe:2.3:o:broadcom:fabric_operating_system:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h300s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h500s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h700s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:o:netapp:h410s_firmware:-:*:*:*:*:*:*:*
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:* ≥ 8.2.0 < 8.2.12
cpe:2.3:a:splunk:universal_forwarder:*:*:*:*:*:*:*:* ≥ 9.0.0 < 9.0.6
cpe:2.3:a:splunk:universal_forwarder:9.1.0:*:*:*:*:*:*:*

Produits affectés

Produit	Versions
https://github.com/curl/curl	affected curl 4.9 to and include curl 7.82.0 are affected

Références

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD