Безопасность1 ч25 октября 2026, 04:40

curl 8.23.0 закрыл критическую use-after-free CVE-2026-92392

В curl 8.23.0 от 14 октября 2026 года вошло 24 исправления безопасности, включая критическую use-after-free CVE-2026-92392 в HTTP/2-загрузках. Уязвимы версии 8.12.0–8.22.0, включая встроенный libcurl; атакует сервер, отвечающий RST_STREAM с HTTP_1_1_REQUIRED или REFUSED_STREAM.

DEV Community

Открыть источник

curl 8.23.0 закрыл критическую use-after-free CVE-2026-92392

CVE-2026-92392 затрагивает curl 8.12.0–8.22.0 и встроенный libcurl
Атакует сервер: RST_STREAM при HTTP/2-загрузке освобождает handle
Исправлено в 8.23.0, бэкпорты в 8.20.2, 8.16.2 и 8.14.3
20 из 24 CVE релиза нашли с помощью ИИ

#Curl#Libcurl

Ещё новости — в режиме свайпа🔥 Сейчас в свайпе: Песок заклинил шарнир iPhone Duo, а два сгиба убили внутренний экран — замена $1000

Безопасность

curl 8.23.0 закрыл критическую use-after-free CVE-2026-92392

Разбор CVE-2026-109618: use-after-free в PHP через PS(id)

CVE-2026-80521: use-after-free в AF_UNIX позволяет выйти из контейнера

CVE-2026-70585: use-after-free в NFS-клиенте Windows

curl 8.23.0 закрыл уязвимость HTTP/2-загрузки с исполнением кода