遠端主機上安裝的 curl 版本缺少安全更新。因此，該主機會受到不當憑證驗證弱點影響。

  - 搭配 libcurl 或 --pinnedpubkey 搭配 curl 工具使用 CURLOPT_PINNEDPUBLICKEY 選項時，應執行公開金鑰檢查以驗證伺服器憑證對等。但是，如果連線使用 QUIC (含針對 GnuTLS 構建的 ngtcp2)，且使用者已明確停用標準憑證驗證，則會略過此檢查。這可允許在沒有預定公開金鑰驗證的情況下連線至冒充者伺服器。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Curl 8.8.0 < 8.18.0 不當的憑證驗證。

medium Nessus Plugin ID 291358

版本 1.3