cURL宣布将低危漏洞报告改成公开处理 高危问题继续保密

信息安全 来源：蓝点网 2026-10-22 03:17:05 阅读：0

知名开源项目 cURL 日前发布公告宣布从 2026 年 10 月 26 日开始，低危和中危漏洞报告应该直接提交到公开的 GitHub 仓库，而高危和严重级别的漏洞仍然可以通过 HackerOne 保密提交处理。

cURL 项目开发者丹尼尔表示，安全研究员可以对漏洞进行预先评估，然后按照严重等级分类提交漏洞。如果研究员无法判断漏洞等级则仍然可以通过私下渠道联系，此时开发团队会评估漏洞，若确认漏洞为低危或高危则会将其转为 GitHub 公开议题。

cURL 项目使用低危、中危、高危和严重评级，丹尼尔称过去数年收到的报告中，超过 90% 被评为低危或中危漏洞，只有少部分漏洞被评为高危甚至是严重级别的漏洞。

丹尼尔称随着漏洞报告数量持续增加，项目团队已经面临过重负担，部分 AI 辅助研究会尝试罕见的选项组合，将不太可能出现在真实应用中的异常行为报告为安全问题。这导致项目组需要挨个判断问题是否成立、是否影响现实使用、修复漏洞和发布安全公告。

公开处理中低危漏洞报告可以让更多开发者参与复核、完善修复并查找相似问题，也让发行版和用户更早看到相关信息。不过代价是漏洞细节会被提前公开，攻击者可能在修复发布前获得更多利用时间。