Профиль: Аноним (вход | регистрация) неRU opennet.me  
The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Проект Curl на месяц прекратит приём отчётов об уязвимостях

15.06.2026 22:14 (MSK)

Дэниел Cтенберг (Daniel Stenberg), автор утилиты для получения и отправки данных по сети curl, объявил о приостановке приёма и обработки сообщений об уязвимостях с 1 июля по 3 августа. Исключение будет сделано только для отправителей, пользующихся платной поддержкой. В качестве причины называется необходимость передышки и отдыха после существенного повышения нагрузки по разбору отчётов о выявлении уязвимостей в последние четыре месяца.

Сообщения, отправленные через форму на Hackerone и email security@curl.se в указанное время сопровождающими рассматриваться не будут. Возможность отправки pull-запросов и сообщений о проблемах через GitHub останется доступна, но разбор накопившихся сообщений об уязвимостях начнётся только после 3 августа.

  1. Главная ссылка к новости (https://daniel.haxx.se/blog/20...)
  2. OpenNews: AI-модель Claude Mythos не продемонстрировала особых достижений при поиске уязвимостей в Curl
  3. OpenNews: Проект Curl избавился от использования функции strcpy в коде
  4. OpenNews: Проблемы из-за подготовленных AI-инструментами отчётов об уязвимостях
  5. OpenNews: В CVE опубликованы отчёты о ложных уязвимостях в curl, PostgreSQL и других проектах
  6. OpenNews: Anthropic анонсировал AI-модель Claude Mythos, умеющую создавать рабочие эксплоиты
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65693-curl
Ключевые слова: curl
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (64) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 22:41, 15/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –23 +/
    И пусть весь мир подождёт ...

    Кстати, не подскажете аналоги для замены curl ?

     
     
  • 2.3, Аноним (3), 22:51, 15/06/2026 [^] [^^] [^^^] [ответить]  
  • +22 +/
    Invoke-WebRequest
     
     
  • 3.13, aname (ok), 00:32, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ультрахорош
     
  • 3.20, Аноним (20), 02:16, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Даже нормально утилитку написать не можете, обязательно нужно Invoke указать)
    А WebRequest мягко намекает как часто её используют
     
     
  • 4.40, Соль земли2 (?), 11:13, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Баблософт как обычно. С любовью к людям.
     
  • 4.48, aname (ok), 14:03, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Даже нормально утилитку написать не можете, обязательно нужно Invoke указать)
    > А WebRequest мягко намекает как часто её используют

    Зачем писать утилиту, если в ОС есть нужный API?

     
     
  • 5.59, Аноним (59), 15:59, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Да ты погоди, тут стабильный апи ещё не придумали, а ты сразу хочешь чтобы операционная система была. До ОС линуксу ещё 30 лет расти.
     
  • 3.22, cheburnator9000 (ok), 02:32, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    у него есть алиас iwr
     
     
  • 4.26, анм (?), 07:15, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    а еще оно отзывается на curl

    жалко только синтаксис такой, что этим поделием даже дверь подпирать не хочется

     
     
  • 5.49, aname (ok), 14:05, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > а еще оно отзывается на curl
    > жалко только синтаксис такой, что этим поделием даже дверь подпирать не хочется

    Какой?

    Invoke-WebRequest $myDownloadUrl -OutFile c:\file.ext

    В чём твоя проблема?

     
  • 2.5, Ivan_83 (ok), 22:54, 15/06/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Смотря что вам нужно.
    fetch, wget если только что то простое выкачать.
     
     
  • 3.8, Аноним (8), 23:31, 15/06/2026 [^] [^^] [^^^] [ответить]  
  • –7 +/
    Вот и выросло поколение... Ничего что curl прежде всего библиотека, а уже потом утилита?
     
     
  • 4.9, Аноним (9), 23:39, 15/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    ну есть popen(), можно и бинарь вызвать из Си-программы. Да, криво, но ведь можно )
     
     
  • 5.12, Ivan_83 (ok), 00:08, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Это не криво, это быстрый способ интеграции без компиляций.
    Я именно такое рассматривал и рассматриваю как быстрый способ получить много функционала без возни с биндингами к либам.
     
     
  • 6.24, Аноним (24), 02:57, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> можно и бинарь вызвать из Си-программы. Да, криво, но ведь можно )
    > Это не криво, это быстрый способ интеграции без компиляций.

    Это именно что "криво", потому что для "без компиляции" придумали скриптовые языки. А в сишочке ты 10 раз обделаешься с экранированием символов и выходами за пределы буферов даже на начальном этапе создания строки-комманды для popen().

     
     
  • 7.30, Ivan_83 (ok), 07:57, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Для корректного запуска субпроцесса и коммуникации с ним - там целое исскуство и куча подводных камней на уровне ОС, буфера тут самая незначительная проблема если что.

    popen() это нубский уровень относительно того что лично мне было нужно и что лично я хотел и в принципе реализовал, но не доотладил ещё.

    А нужно было чтобы можно было создать процесс, чтобы всё что валится в stderr+stdout прилетало в отдельный колбэк, чтобы в stdin можно было писать когда вздумается, ну и там таймауты на чтение из каждого дескриптора, и общий таймаут работы процесса и что то ещё было.

    Короче с точки зрения работы если через это гонять curl то разница относительно прямого линкования его либы будет не шибко существенной: имеем асинхронный код с колбэками.

    Скриптовые языки столько не дадут.
    У меня оно в виде биндинга к луа сделано, те код из луа запускает нужный процесс и получает выхлоп в свои колбэк функции, если они были заданы.

     
     
  • 8.64, sage (??), 20:24, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Че только не придумают лишь бы либу не грузить Луа же спокойно может функции си... текст свёрнут, показать
     
     
  • 9.69, Ivan_83 (ok), 20:54, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Да можно, можно, но для полноценного враппера curl к луа нужно время, а запускал... текст свёрнут, показать
     
  • 7.50, aname (ok), 14:07, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >>> можно и бинарь вызвать из Си-программы. Да, криво, но ведь можно )
    >> Это не криво, это быстрый способ интеграции без компиляций.
    > Это именно что "криво", потому что для "без компиляции" придумали скриптовые языки.
    > А в сишочке ты 10 раз обделаешься с экранированием символов и
    > выходами за пределы буферов даже на начальном этапе создания строки-комманды для
    > popen().
    > А в сишочке ты 10 раз обделаешься с экранированием символов

    Так ты не обделывайся

     
  • 6.38, Аноним (38), 10:50, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Какая замечательная ыкспертиза Теперь, вместо получения структурированных данны... большой текст свёрнут, показать
     
     
  • 7.51, aname (ok), 14:16, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >[оверквотинг удален]
    > Какая замечательная ыкспертиза. Теперь, вместо получения структурированных данных, вы
    > будете получать текст, который нужно распарсить.
    >>А нужно было чтобы можно было создать процесс, чтобы всё что валится в stderr+stdout прилетало в отдельный колбэк, чтобы в stdin можно было писать когда вздумается, ну и там таймауты на чтение из каждого дескриптора, и общий таймаут работы процесса и что то ещё было.
    > И в чём проблема? В отсутствии в си нормального асинхронного программирования?
    >>Короче с точки зрения работы если через это гонять curl то разница относительно прямого линкования его либы будет не шибко существенной: имеем асинхронный код с колбэками.
    > Разница всё равно будет. Например, в возможности появления зомби.
    >>У меня оно в виде биндинга к луа сделано, те код из луа запускает нужный процесс и получает выхлоп в свои колбэк функции, если они были заданы.
    > Какой извращённый велосипед.
    > Теперь, вместо получения структурированных данных, вы
    > будете получать текст, который нужно распарсить.

    В первый раз? Типа, в линуксе это когда- то было не так? Любая простыня- это всегда какие- то мадельбротовы множества с грепом. Реже с авк

    > И в чём проблема? В отсутствии в си нормального асинхронного программирования?

    Забавно, что в шинде можно нормально кодить на Си асинхронно и никаких особых болей.

    > Разница всё равно будет. Например, в возможности появления зомби.

    Всё ещё не научились решать эту проблему?

    > Какой извращённый велосипед.

    Классический KISS. Потому, что отдельные программы решают свои задачи, а вот когда надо выстраивать систему отношений, то приходится выстраивать то, что не было заложено с тем, что не спроектировано под систему отношений.

    И тут начинается…

     
  • 7.60, Ivan_83 (ok), 17:23, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Какая замечательная ыкспертиза. Теперь, вместо получения структурированных данных, вы будете получать текст, который нужно распарсить.

    Вам не хватает контекста для критики.
    Идея была в том, что сделать качественный биндинг для запуска процессов быстрее и дешевле чем делать качественные биндинги для всего этого по отдельности.
    Часто достаточно простого анализа или его отсутстви.
    Например достаточно получить вывод скаченного файла и дальше либо парсить его.
    Или запустить пинг и простым парсингом получить да/нет.


    > И в чём проблема? В отсутствии в си нормального асинхронного программирования?

    Ни в чём, речь про С биндинг для луа.


    > Разница всё равно будет. Например, в возможности появления зомби.

    Учитесь значит кодить.


    > Какой извращённый велосипед.

    Потому что весьма оптимально с моей точки зрения.

     
     
  • 8.67, Аноним (38), 20:46, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    И причина этого в том, что вы изобретаете велосипед А заодно изобрести полноценн... текст свёрнут, показать
     
     
  • 9.68, Ivan_83 (ok), 20:52, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Если кто то слышал таких как вы - до сих пор бы жили в пещерах http мне curl бу... текст свёрнут, показать
     
  • 4.11, Ivan_83 (ok), 00:07, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Автор не уточнял что ему нужна библиотека и цели, а в названии статьи название утилиты.

    libfetch тоже библиотека если что.

     
  • 4.21, Аноним (21), 02:17, 16/06/2026 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 4.23, Аноним (21), 02:49, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    libwget - является тоже библиотекой (тут надо ещё написать всякий текст чтобы сообщение не скрылось bоtом)
     
     
  • 5.35, Аноним (-), 09:56, 16/06/2026 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 5.36, Аноним (36), 09:58, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А вот это неожиданно, кстати. Что даже wget - либа. Думали это смешная программа скачки с индикатором загрузки в виде ===>  (тут надо ещё написать всякий текст чтобы сообщение не скрылось bоtом)
     
     
  • 6.39, Аноним (39), 10:52, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    )bоtом скрылось не сообщение чтобы текст всякий написать ещё надо тут(
     
  • 4.56, Аноним (56), 15:37, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    fetch это тоже библиотека libfetch, а потом уже утилита

    по крайней мере, во freebsd

     
  • 2.6, morphe (?), 23:09, 15/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    https://docs.rs/reqwest
     
  • 2.7, Аноним (8), 23:31, 15/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    reqwest
     
  • 2.10, Аноним (59), 00:01, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Подскажем, если ты сперва расскажешь как ты curl используешь. А то тебе насоветуешь, а потом окажется что ты на детали внутренней имплементации завязался.
     
     
  • 3.14, aname (ok), 00:34, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Проблемы егров шерифа не интересуют.

    Если человек хочет сменить либу, то, наверное, он как- то должен ожидать, что там- не тут.

     
     
  • 4.16, Аноним (59), 01:58, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ну мало ли. Это ж опеннет, тут какие только чудеса не шастают. От учёного кота до дубов.
     
     
  • 5.52, aname (ok), 14:17, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Ну мало ли. Это ж опеннет, тут какие только чудеса не шастают.
    > От учёного кота до дубов.

    Ну так- то да, не поспоришь

     
  • 2.15, Аноним (15), 01:10, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    libsoup разве что
     
  • 2.18, Аноним (18), 02:01, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    yt-dlp
     
  • 2.27, Jh (?), 07:27, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    rurl. Думаю так назовут копию которую перепишут на rust )
     
  • 2.29, Аноним (29), 07:50, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    aria2c
     
     
  • 3.53, aname (ok), 14:17, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > aria2c

    Жаль обновляться перестала. А так- вещь огонь.

     
  • 2.32, Аноним (32), 08:23, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Всю жизнь в приличных обществах использовали только wget.
     
     
  • 3.34, xPhoenix (ok), 09:53, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Для файлов топ. Но curl сейчас для этого редко используют. Людям нравится писать портянки для работы с API. Уже даже термин ввели - "curl-запрос", настолько всё плохо.
     
  • 2.33, xPhoenix (ok), 09:52, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    wget

    Но если тебе не только файлы качать, но и API дёргать, то Insomnia или Postman.

     
     
  • 3.61, Аноним (61), 17:27, 16/06/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.41, Соль земли2 (?), 11:18, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    git checkout -b my-stupid-curl-version
     
  • 2.66, Ык (?), 20:38, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >Исключение будет сделано только для отправителей, пользующихся платной поддержкой.

    В правильную сторону идёт. Ибе нефига с помомшью ии генерировать мусор.

    Следующий этап правильный -  сделает  для отправителей которые к отчёту об уязвимости прикрепляют залог (например в крипте).
    Если это мусор из ИИ -  залог не возвращается, а делится межу теми кто присылает полезные отчёты.

     

  • 1.17, Аноним (18), 02:00, 16/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Правильно, лето, отпуска. А кто-то опять со своими багами лезет..
     
  • 1.19, Аноним (21), 02:06, 16/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Даю им подсказку: не делать новых "усовершенствований" хотя бы месяца три.
     
     
  • 2.46, нах. (?), 13:54, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    ты не по адресу. тебе к УГлю и прочим новым-стандартам.

    curl станет бесполезен если не сможет за ними успевать, к сожалению.

     

  • 1.31, Аноним (32), 08:22, 16/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Автор уходит на каникулы и в детский лагерь?
     
     
  • 2.43, Сладкая булочка (?), 11:33, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Может себе позволить.
     
     
  • 3.47, Аноним (47), 14:02, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Его родители смогли себе позволить.
     
  • 2.44, funny.falcon (?), 12:01, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В детский лагерь пора тебе, раз ты даже отдаленно не представляешь историю curl, возраст и компетенцию его автора.
     
     
  • 3.58, Аноним (58), 15:53, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    такая компетенция, что пришлось аж отключить приём сообщений об уязвимостях! или ему в сообщениях букеты посылали?
     
     
  • 4.62, funny.falcon (?), 17:38, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Так ты почитай историю. Тут же на опеннете много было про то, как его спамят бесполезным нейрослопом о якобы уязвимостях.

    На секунду, curl является очень надежным продуктом. И реальные уязвимости и просто баги в нём встречаются намного реже, чем в среднем в индустрии.

    Но, судя по твоему тону, тебе до такого качества работы расти не меньше двадцати лет. Да и то не факт, что дорастёшь.

     
     
  • 5.63, Аноним (63), 18:50, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Тут же на опеннете много было про то, как его спамят бесполезным нейрослопом о якобы уязвимостях.

    На опеннете-то конечно да, но может, лучше оригинал почитать? https://daniel.haxx.se/blog/2026/04/22/high-quality-chaos/

     
  • 3.65, Аноним (65), 20:36, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Можете объяснить про компетенцию? Вот на опеннете про этого человека и его мнение про всякие вопросы пишут чуть ли не чаще чем про торвальдса. Чем он так знаменит?
     

  • 1.42, Сладкая булочка (?), 11:32, 16/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Исключение будет сделано только для отправителей, пользующихся платной поддержкой.

    Красавчик. Хочешь отправить патч - плати. Скоро так везде будет. Нужна работа? Без проблем, сколько готов платить, чтобы работать?

     
     
  • 2.54, aname (ok), 14:19, 16/06/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >> Исключение будет сделано только для отправителей, пользующихся платной поддержкой.
    > Красавчик. Хочешь отправить патч - плати. Скоро так везде будет. Нужна работа?
    > Без проблем, сколько готов платить, чтобы работать?

    Люди, они, знаете ли, люди.

    Устают.

     

  • 1.45, Аноним (45), 12:02, 16/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вкратце, если почитать блог — у Даниэля семья, возраст, здоровье, да ещё ИИ тут шибко умный стал — и он за тридцать лет немного заипався.
     
  • 1.55, Аноним (58), 15:02, 16/06/2026 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +/
     
  • 1.57, Аноним1234 (?), 15:41, 16/06/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ни планируют переписать на rust? Колличество ошибок сильно станет меньше.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру