libcurl の `CURLOPT_PINNEDPUBLICKEY` オプションまたは curl ツールの `--pinnedpubkey` オプションを使用する場合、curl はピアを検証するためにサーバー証明書の公開鍵をチェックします。ある条件下でこのチェックがスキップされ、その結果、curl は適切なチェックを行わずに接続を許可し、偽装の可能性を見逃すことがありました。このチェックがスキップされる条件は、QUIC 接続を行い、ngtcp2 が GnuTLS を使用するようにビルドされており、かつユーザーが標準の証明書検証を明示的に無効にしている場合です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。