libcurl LDAP LDIF: entry DN and attribute names written without RFC 2849 base64 encoding, allowing server line injection
该报告还没有中文解读。
原文摘录
摘自原文（2552 字符中的一小部分）
Summary: curl 8.22.0 base64-encodes LDAP attribute values that aren't RFC 2849 SAFE-STRINGs (commit 2ba2fe3540, issue #22339), but the entry DN and the attribute names are still written to the LDIF output verbatim. In lib/openldap.c oldap_recv() that's the DN client_write(data, STRCONST("DN: "), …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @1rhino2 · 版权归作者与 curl 所有