3 августа 2026 года, проект curl возобновляет приём сообщений об уязвимостях через платформу HackerOne. Форма должна открыться в 09:00 CEST, или 10:00 по московскому времени. Весь июль сопровождающие намеренно не принимали и не обрабатывали новые отчёты, объявив период отдыха под названием curl summer of bliss — «лето блаженства curl».

О временной остановке приёма отчётов ведущий разработчик curl Дэниел Стенберг объявил 15 июня. С 1 июля была отключена форма HackerOne, а сообщения, отправленные на адрес команды безопасности, также оставались без рассмотрения. Найденные в течение месяца проблемы исследователям предлагалось сохранить до августа. При этом обычные разделы GitHub для сообщений об ошибках и запросов на включение изменений продолжали работать. «Плохие парни, вероятно, не станут отдыхать. Но мы будем», — объяснил решение Стенберг.

( читать дальше... )

>>> Источник (haxx.se)

24 июня, после почти двух месяцев разработки, 531 коммита и исправления 276 ошибок, состоялся выпуск 8.21.0 (№275) кроссплатформенной многофункциональной консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

---

>>> Полный список изменений на curl.se (и в первой редакции этой новости)

>>> Видеопрезентация 8.21.0 на youtube

>>> Документация

>>> Страница загрузки

>>> Исходный код на GitHub

>>> Новость в блоге Даниэля Стенберга (haxx.se)

29-го апреля, после более месяца разработки, 521 коммита и исправления 282 ошибок, состоялся выпуск 8.20.0 (274-й) кроссплатформенной консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

Основные изменения

Безопасность

Как уже упоминалось ранее («High quality chaos»), в последнее время наблюдается значительный рост числа сообщений о проблемах безопасности. На этот раз опубликована информация о восьми новых уязвимостях в curl:

• CVE-2026-7168: утечка состояния аутентификации Digest между прокси-серверами;
• CVE-2026-7009: обход фиксации OCSP с помощью Apple SecTrust;
• CVE-2026-6429: утечка учётных данных netrc при повторном использовании прокси-соединения;
• CVE-2026-6276: устаревший хост пользовательских файлов cookie приводил к их утечке;
• CVE-2026-6253: утечка учётных данных при перенаправлении на прокси-сервер;
• CVE-2026-5773: неправильное повторное использование SMB-соединения;
• CVE-2026-5545: неправильное повторное использование соединения HTTP Negotiate;
• CVE-2026-4873: при повторном использовании соединения игнорировались требования TLS.

( читать дальше... )

>>> Полный список изменений на curl.se (и в первой редакции этой новости)

>>> Видеопрезентация 8.20.0 на youtube

>>> Документация

>>> Страница загрузки

>>> Исходный код на GitHub

>>> Новость в блоге Даниэля Стенберга (haxx.se)

11-го марта, после более двух месяцев разработки и 538 коммитов, состоялся выпуск 8.19.0 (273-й) кроссплатформенной консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

Основные изменения

Безопасность

• Прекращена программа поощрений за обнаружение уязвимостей, но это не помешало людям находить уязвимости в curl:
  • CVE-2026-1965 – неправильное повторное использование соединения HTTP Negotiate;
  • CVE-2026-3783 – утечка токенов с перенаправлением и netrc;
  • CVE-2026-3784 – неправильное повторное использование прокси-соединения с учетными данными;
  • CVE-2026-3805 – использование памяти после освобождения в повторном использовании SMB-соединения.

( читать дальше... )

>>> Полный список изменений на curl.se

>>> Видеопрезентация 8.19.0 на youtube

>>> Документация

>>> Страница загрузки

>>> Исходный код на GitHub

>>> Новость в блоге Даниэля Стенберга (haxx.se)

Проект curl прекратил программу вознаграждения за найденные ошибки после того, как разработчики столкнулись с потоком отчетов, созданных с помощью искусственного интеллекта, которые трудно оценить.

На прошлой неделе Даниэль Стенберг, руководитель проекта, разместил на GitHub запись, сообщающую о завершении программы к концу января 2026 года. Он ранее выражал недовольство по поводу баг-репортов от ИИ в начале 2024 года и подумал о закрытии программы уже в середине 2025 года. Хотя он признал, что ИИ может помочь в поиске ошибок, основной проблемой стали многочисленные «бесполезные» отчеты.

В своем сообщении Стенберг отметил, что прекращение программы вознаграждения должно уменьшить поток некачественных отчетов и облегчить работу команды безопасности curl.

Стенберг также выразил надежду, что разработчики будут продолжать отправлять настоящие отчеты о безопасности, даже если финансового вознаграждения не будет.

>>> Источник (theregister.com)

После почти месяца разработки состоялся выпуск 8.17.0 (271-й) консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

>>> Полный список изменений на curl.se

>>> Видеопрезентация на youtube

>>> Документация

>>> Страница загрузки

>>> Исходный код на GitHub

>>> Новость в блоге Даниэля Стенберга (haxx.se)

10 сентября, после почти двух месяцев разработки, состоялся выпуск 8.16.0 (270-й) консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

>>> Новость в блоге Даниэля Стенберга (haxx.se)

Команда разработчиков curl выпустила обновление для устранения уязвимости CVE-2025-5025, оцененной как средней (Medium Severity).

Уязвимость проявляется при выполнении трех условий:

 
1. Используется TLS-библиотека wolfSSL
2. Соединение устанавливается по протоколу HTTP/3 (QUIC).
3. Включена функция безопасности certificate pinning (пиннинг публичного ключа сертификата сервера).

Проверка пиннинга не выполнялась. Это означает, что злоумышленник может провести атаку 'Атака посредника' (MITM-атака) и представить любой действительный сертификат, curl примет соединение, несмотря на несоответствие ожидаемого ключа. Это позволяет злоумышленнику перехватывать и модифицировать зашифрованный трафик.

( читать дальше... )

>>> CVE-2025-5025 (curl.se)

Основатель и главный разработчик проекта curl Дэниэл Стенберг (Daniel Stenberg) обратил внимание на проблему массовой отправки сообщений об уязвимостях, созданных LLM через платформу HackerOne. Подобные сообщения перегружают разработчиков, так как для их проверки необходимо время, которое несравнимо с тем временем, которое нужно для создания подобных отчётов при помощи LLM.

В качестве примера такого сообщения он опубликовал один из таких отчётов - #3125832. Первоначальный патч в нём не подходит ни к одной версии утилиты, для которой он сделан. На уточняющие вопросы от разработчиков его автор отвечал на не заданные вопросы (например, что такое циклическая зависимость), приводил примеры несуществующих функций в утилите и давал инструкции, как использовать git для применения патча.

В ответ на увеличение количества таких сообщений Дэниэл Стенберг предупредил, что теперь авторам необходимо будет отвечать на вопрос «использовался ли AI при его создании» и быть готовыми к дополнительным вопросам, чтобы доказать, что автор действительно проверил результат. Так же любой автор, заподозренный в отправке сообщений, которые можно классифицировать как «AI slop» (низкокачественный контент, сгенерированный LLM) будет немедленно забанен.

Дэниэл Стенберг отмечает, что на данный момент у них нет ни одного примера полезного сообщения об уязвимости, созданного при помощи AI.

Ранее Дэниэл Стенберг уже писал об этой проблеме в своём блоге. Так же о похожей ситуации сообщал Сэт Ларсон (Seth Larson), разработчик из security team в Python Software Foundation.

>>> Подробности (simonwillison.net)

5 февраля, после почти двух месяцев разработки, состоялся выпуск 8.12.0 консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

>>> Новость в блоге автора (haxx.se)

Состоялся выпуск 8.11.0 консольной утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

>>> Новость в блоге автора (haxx.se)

30 июля состоялся выпуск 0.14 консольной утилиты trurl (tr for URLs), написанной на языке C с использованием функции curl_url_set библиотеки libcurl. Утилита предназначена для разбора и других манипуляций с URL-адресами.

Список изменений:

• вместо функции strncasemp используется собственная реализация;
• добавлена поддержка префикса strict командой --get;
• добавлена поддержка оператора условного присваивания ?= командой --set;
• удалён лишний перевод строки при выводе предупреждения;
• в документацию добавлены коды возврата.

>>> Подробности (github.com)

22 мая, после почти двух месяцев разработки, состоялся выпуск 8.8.0 утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

>>> Подробности (curl.se)

15 мая состоялся выпуск 0.13 консольной утилиты trurl, написанной на языке C с использованием библиотеки libcurl. Утилита предназначена для разбора и других манипуляций с URL-адресами.

trurl – это инструмент в духе tr, но для URL-адресов:

$ trurl --url https://www.linux.org.ru/help/rules.md --get '{path}'

/help/rules.md

$ trurl --url https://www.linux.org.ru --append path=forum

https://www.linux.org.ru/forum

Список изменений:

• освобождение выделенной памяти при ошибках OOM;
• короткие ключи больше не требуют разделения аргумента пробелами;
• добавление сегментов пути только при первой итерации;
• другие мелкие исправления.

---

Видео-презентация (1:05:53).

>>> Подробности (github.com)

31 января, после более месяца разработки, состоялся выпуск 8.6.0 утилиты и библиотеки curl, написанных на языке C и распространяемых по лицензии curl.

( читать дальше... )

>>> Подробности (curl.se)

Состоялся очередной выпуск curl, утилиты и библиотеки для передачи данных по сети. За 25 лет развития проекта в curl была реализована поддержка множества сетевых протоколов, таких как HTTP, Gopher, FTP, SMTP, IMAP, POP3, SMB и MQTT. Библиотеку libcurl используют такие важные для сообщества проекты как Git и LibreOffice. Код проекта распространяется под лицензией Curl (вариант лицензии MIT).

Выпуск примечателен сразу по двум причинам:

• добавлена поддержка протокола IPFS;
• исправлена опасная уязвимость в реализации протокола SOCKS5;

( читать дальше... )

>>> Подробности (curl.se)

curl 8.0.0 (8.0.1) — юбилейный релиз к 25-летию проекта. Версия 8.0.1 — срочный багфикс.

Curl — это программа командной строки, позволяющая взаимодействовать с множеством различных серверов по множеству различных протоколов с синтаксисом URL. Распространяется по собственной лицензии, похожей на MIT.

Видеопрезентация

>>> Подробности (curl.se)

Curl — это программа командной строки, позволяющая взаимодействовать с множеством различных серверов по множеству различных протоколов с синтаксисом URL. Распространяется по собственной лицензии, похожей на MIT.

Видеопрезентация

( читать дальше... )

>>> Подробности (curl.se)

transfer.sh - публичный бесплатный онлайн-сервис для обмена файлами, базирующийся на одноимённом свободном ПО. Отличительной особенностью является удобная возможность загрузки файлов на сервер с помощью CLI-программ, например, curl.

Почти 2 года назад после объявления о закрытии сервиса (новость на ЛОР) компания Storj Labs взяла на себя поддержку, и сервис смог продолжлить работу.

2 месяца назад компания заявила о закрытии сайта к 30-му сентября:

We, unfortunately, have to shut down the transfer.sh service. We don’t own the service and haven’t been able to reach the owner. We’ll discontinue hosting transfer.sh on Sept 30th. If you have any questions, please contact hello /at/ dutchcoders.io. Storj Labs Inc.

Затем Storj Labs заявили о прекращении поддержки сервиса с 30-го октября:

As of October 30th 2020, Storj Labs will discontinue support for the transfer.sh service. Please sign up for the world’s best decentralized file transfer and storage system,tardigrade.io for all of your file transfer needs. 1. Create a tardigrade.io account. 2. Download the Uplink Tool. 3. Share your file.

If you have any questions, please contact hello /at/ dutchcoders.io.

Репозиторий исходного кода (GitHub)

issue #326: What happened to transfer.sh?? (GitHub)

>>> Подробности (archive.org)

11 сентября вышла новая версия curl — простой CLI утилиты и библиотеки для получения и отправки данных по сети. Нововведения:

• Экспериментальная поддержка HTTP3 (по умолчанию отключена, требует пересборки с quiche или ngtcp2+nghttp3)
• Доработки авторизации через SASL
• Параллельная передача данных (ключ -Z)
• Обработка заголовка Retry-After
• Замена curl_multi_wait() на curl_multi_poll(), что должно предотвратить подвисание при ожидании.
• Исправления багов: от утечек памяти и падений, до поддержки Plan 9.

Ранее разработчик curl Дениел Стэнберг (Daniel Stenberg) выложил пояснения в блоге и 2,5-часовой видеообзор, зачем нужен HTTP/3, и как его использовать. Вкратце — вместо протокола TCP используется UDP с шифрованием TLS. Пока по HTTP/3 работают такие вещи, как: доступ по IPv4 и IPv6, все доступные фичи DNS, обработка заголовков, куки. Не сделаны запросы с большим телом, распараллеливание, тесты.

Проекты на GitHub

>>> Чейнджлог (haxx.se)