CVE-2026-1965

libcurl, Negotiate kimlik doğrulamalı bir HTTP veya HTTPS isteği yapması istendiğinde bazı durumlarda yanlış bağlantıyı yeniden kullanabilir. libcurl, sonraki isteklerin ek yükten kaçınmak için mevcut bir bağlantıyı yeniden kullanabilmesi amacıyla güncel bağlantılardan oluşan bir havuza sahiptir. Bir bağlantı yeniden kullanılırken öncelikle bir dizi kriterin karşılanması gerekir. Kodun içindeki mantıksal bir hata nedeniyle, bir uygulama tarafından gönderilen bir istek, aynı sunucuya yönelik farklı kimlik bilgileriyle kimliği doğrulanmış mevcut bir bağlantıyı hatalı bir şekilde yeniden kullanabilir. Bunun temel nedenlerinden biri, HTTP'nin çalışma tasarımının aksine, Negotiate yönteminin bazen istekleri değil, bağlantıları kimlik doğrulamasıdır. Bir sunucuya (Negotiate yanıtı veren) `user1:password1` ile Negotiate kimlik doğrulamasına izin veren ve ardından önceki bağlantı hala aktifken aynı sunucuya yine Negotiate kullanarak ancak `user2:password2` ile başka bir işlem yapan bir uygulamada; ikinci istek aynı bağlantıyı hatalı olarak yeniden kullanır ve Negotiate müzakeresinin zaten yapıldığını gördüğü için, aslında hala user1 için kimliği doğrulanmış olan bağlantıyı kullandığı halde user2 kimlik bilgilerini kullandığını düşünerek isteği bu bağlantı üzerinden gönderir... Kullanılacak kimlik doğrulama yöntemleri seti `CURLOPT_HTTPAUTH` ile belirlenir. Uygulamalar, bağlantıların nasıl yeniden kullanılacağını veya kullanılmayacağını değiştirmek için aşağıdaki libcurl seçeneklerinden birini kullanarak libcurl'ün bağlantıları yeniden kullanmasını devre dışı bırakabilir ve böylece bu sorunu hafifletebilir: `CURLOPT_FRESH_CONNECT`, `CURLOPT_MAXCONNECTS` ve `CURLMOPT_MAX_HOST_CONNECTIONS` (curl_multi API kullanılıyorsa).