curl 待修复的二十二个漏洞

# curl 待修复的二十二个漏洞 来源：https://daniel.haxx.se/blog/2026/10/07/twenty-two-pending-curl-vulnerabilities/ 我们将于 2026 年 10 月 14 日发布 curl 8.23.0。这是 curl 项目（https://curl.se/）永不停歇的版本迭代系列中的下一个版本。 我们始终认为下一个版本是我们有史以来最好的版本——这次也不例外。数十年来积累的经验和精心打磨，让我们走到了这一步。 ## 提前发布 我们决定缩短这次的发布周期，以便比原计划提前几周发布 8.23.0。在收到一份特别的漏洞报告、其中揭示了一个相当严重的缺陷之后，我们做出了这个决定。 我们将发布一个移除了此问题的新版本，同时还会修复另外二十一个虽然没那么严重但同样存在的安全漏洞。 ## 严重级别：HIGH（高危） 在 curl 项目中，我们对我们报告的所有 CVE 只赋予四级严重级别之一（LOW、MEDIUM、HIGH 或 CRITICAL），因为我们基本上不相信 CVSS 评分（https://daniel.haxx.se/blog/2025/01/23/cvss-is-dead-to-us/）。自 2021 年以来，我们只发布过两个严重级别为 HIGH 的 CVE，最近的一个是 CVE-2023-38545（https://curl.se/docs/CVE-2023-38545.html）；该漏洞可能导致堆缓冲区溢出。 现在，我们即将发布另一个：CVE-2026-92392。 ## 所有细节将在下周公布 关于 CVE-2026-92392 的所有细节将于 2026 年 10 月 14 日欧洲时间上午与 curl 8.23.0 的发布同步公开，而这个新版本当然也会修复此问题。 我们会同步发布经过更新的 Rock-solid curl（https://rock-solid.curl.dev/）版本。 出于全球 curl 用户的安全考虑（坦白说，也出于所有使用 curl 的基础设施的安全考虑），在此日期之前不会公开此缺陷的任何细节。 我们会提前通知 distros@openwall 邮件列表以及付费的 curl 支持客户关于此问题（以及相关修复）的信息。 10 月 14 日之后，我将撰写一篇独立的博客文章，详细描述此缺陷：如何触发、为什么它并非世界末日，以及我们在 curl 中是如何修复此类问题的。 ## 文章导航 ## curl、开源与网络