CVE-2026-6253curl在特定配置下存在安全漏洞，可能导致代理认证凭证泄露。当curl被配置为针对不同的URL协议使用不同的代理服务器，且第一个代理需要认证而第二个代理不需要认证时，如果curl在通过第一个代理访问时被重定向到使用第二个协议（及第二个代理）的URL，它可能会错误地将第一个代理的认证凭证传递给第二个代理。这会将敏感的认证信息暴露给未预期的第三方代理服务器。
该漏洞的核心在于curl处理跨协议重定向时的代理认证状态管理逻辑错误。漏洞触发的四个必要条件是：1. curl针对不同协议（如http和https）配置了不同的代理；2. 第一个代理配置了认证信息；3. 第二个代理未配置认证；4. 在使用第一个代理过程中，服务器返回了重定向响应，导致curl切换协议并使用第二个代理进行连接。在正常情况下，切换代理时应清除或重新评估认证信息，但受影响的curl版本未能正确执行此操作，导致本应仅限于第一个代理的Authorization头部（如Proxy-Authorization）被错误地附加到了发往第二个代理的HTTP请求中。由于第二个代理可能由不可信方控制，这直接导致了凭证的泄露。