#软件资讯 知名开源项目 cURL 发布 8.23.0 版修复高危安全漏洞，HTTP/2 上传漏洞可导致客户端代码执行。该漏洞利用比较苛刻，在特定条件下恶意服务器可以在接收文件上传时触发内存错误并远程代码执行。升级到最新版即可修复漏洞，若暂时无法升级则可以禁用 HTTP/2，命令行可以在使用时追加 --http/1.1 参数。查看全文：https://ourl.co/127406

知名开源项目 cURL 日前发布 8.23.0 版，该版本用于修复 HTTP/2 上传过程中的释放后使用漏洞，漏洞编号 CVE-2026-92392。该漏洞可以在特定条件下将其转换为客户端代码执行，恶意服务器可以在接收文件上传时触发内存错误影响发起上传的设备。

该漏洞影响 cURL 和 libcurl 8.12.0~8.22.0 版，包括命令行工具以及集成该库的软件。相关构建需要启用 HTTP/2，客户端还必须主动向攻击者控制的服务器上传文件。cURL 处理服务器发来的 HTTP/2 流重置帧时，会在释放传输对象后继续使用其引用造成释放后使用。

公开报告展示将内存破坏转换为远程代码执行的复现方法，不过成功利用漏洞还要求攻击者掌握目标 cURL 版本、机构、内存分配器和堆布局、控制并发传输的时序。cURL 项目将漏洞评级为高，同时指出实际攻击更可能导致客户端崩溃。

升级到 cURL 8.23.0 版即可修复该漏洞，若用户短时间内无法升级版本则可以禁用 HTTP/2，其中命令行版本可以通过追加参数 --http1.1 切换到 HTTP/1.1 发起请求，使用 libcurl 的程序可以设置相应版本选项。

消息源：cURL CVE-2026-92392

热门推荐仅需99元/年，硅谷CN2GIA服务器，另有3年版仅需528元，限量销售，售完即止