CVE-2026-5545

libcurl, her ikisinin de aynı ana bilgisayarı kullandığı durumlarda, Negotiate kimlik doğrulamalı bir isteğin ardından kimlik doğrulamalı bir HTTP(S) isteği yapması istendiğinde bazı koşullarda yanlış bağlantıyı yeniden kullanabilir. libcurl, sonraki isteklerin ek yükten kaçınmak için mevcut bir bağlantıyı yeniden kullanabilmesi amacıyla güncel bağlantılardan oluşan bir havuza sahiptir. Bir bağlantı yeniden kullanılırken bir dizi kriterin karşılanması gerekir. Kodun içindeki mantıksal bir hata nedeniyle, bir uygulama tarafından gönderilen bir istek, aynı sunucuya farklı kimlik bilgileriyle kimlik doğrulanmış mevcut bir bağlantıyı hatalı bir şekilde yeniden kullanabilir. Önce bir sunucuya `user1:password1` ile Negotiate kimlik doğrulaması kullanan ve ardından (önceki bağlantı hala aktifken) aynı sunucuya `user2:password2` için herhangi bir kimlik doğrulama yöntemi isteyen başka bir işlem gerçekleştiren bir uygulamada; ikinci istek karışıklık yaşar ve aynı bağlantıyı hatalı bir şekilde yeniden kullanarak yeni isteği bu bağlantı üzerinden gönderir. Bu durum, aslında hala user1 için kimlik doğrulanmış bağlantının kullanılmasına rağmen, user1 ve user2'nin kimlik bilgilerinin bir karışımını kullandığını düşünmesine neden olur.