Разработчики curl, инструмента для передачи данных по сети, планируют выпустить версию 8.23.0 14 октября 2026 года. По сообщению Дэниела Стенберга, выпуск перенесли на несколько недель раньше после сообщения о серьёзной уязвимости.

В версии 8.23.0 исправят CVE-2026-92392, которой проект присвоил высокий уровень опасности, и ещё 21 менее серьёзную уязвимость.

Подробности CVE-2026-92392 раскроют утром 14 октября по европейскому времени, одновременно с выпуском curl 8.23.0.

Проверка утверждений:

  • По сообщению Дэниела Стенберга, разработчики curl перенесли выпуск версии 8.23.0 на несколько недель раньше после сообщения о серьёзной уязвимости. (подтверждено самой публикацией: доказательство; «We decided to shorten the release cycle this time, so that we can release 8.23.0 a few weeks earlier than what we originally planned. We took this decision after we received one particular vulnerability report that highlighted a rather significant flaw.»)
  • Разработчики curl планируют выпустить версию 8.23.0 14 октября 2026 года. (подтверждено самой публикацией: доказательство; «On October 14 2026 we will ship curl 8.23.0.»)
  • В версии 8.23.0 исправят CVE-2026-92392, которой проект присвоил высокий уровень опасности, и ещё 21 менее серьёзную уязвимость. (подтверждено самой публикацией: доказательство; «We will ship a new version with this problem removed, together with twenty-one other albeit less serious security vulnerabilities addressed. Severity HIGH In the curl project we only assign one of the four different severity levels on all CVEs we report (LOW, MEDIUM, HIGH or CRITICAL), as we basically don’t believe in CVSS scoring . We have only published two CVEs with severity HIGH since 2021, the most recent one being CVE-2023-38545 ; that could lead to a heap buffer overflow. Now we are about to release another one: CVE-2026-92392.»)
  • Подробности CVE-2026-92392 раскроют утром 14 октября по европейскому времени, одновременно с выпуском curl 8.23.0. (подтверждено самой публикацией: доказательство; «All details about CVE-2026-92392 will become public in the European morning of October 14, 2026 in synchronization of the release of curl 8.23.0 which of course will have this problem fixed.»)

Первоисточники:

оценка 77,3 из 100 · тип: инцидент