curl 改流程：LOW 与 MEDIUM 漏洞一律搬到 GitHub 公开处理
来源：daniel.haxx.se — 2026-10-20
📋 概述
curl 从 10 月 26 日起调整漏洞披露流程：被判为 LOW 或 MEDIUM 的报告不再走私密通道，而是要提交到 GitHub issue；只有 HIGH 与 CRITICAL 留在 HackerOne。理由是过去几年超过 90% 的提交很快被判为低于 HIGH，而 AI 驱动的报告洪水让核心维护者濒临极限。Stenberg 认为公开处理能让更多人参与评估与修复、也让发行版更早跟上；代价是给恶意方多一点利用窗口，所以把范围限制在非 HIGH。
🔑 核心要点
- 新规生效日 2026 年 10 月 26 日，只有 HIGH / CRITICAL 继续保密
- 数据支撑决定：近几年超过 90% 的提交很快被判为低于 HIGH
- 公开的好处不只省事：让社区帮忙确认修法对不对、有没有同类遗漏，也方便发行版提前跟进
- 作者承认这是拿一点利用窗口换维护者存活，并说看不到回避的办法
- 被点名的浪费源是荒谬的选项组合：AI 拼出真实世界几乎不会出现的序列，却让全世界走一遍 CVE 流程
💡 金句
We don’t have the bandwidth, manpower or even will to handle a never-ending vulnerability reporting stream at this pace.
👍 0
👎 0
← 返回 Lobsters 首页