漏洞报告太多精力不足 cURL宣布将低危漏洞报告改成公开处理高危问题继续保密

2026年10月21日 13:30软件资讯00.65K

#软件资讯漏洞报告太多精力不足，开源项目 cURL 宣布将中低危漏洞报告转为公开，由社区成员帮忙审查漏洞。简单来说就是以后研究人员发现的中低危漏洞都不再通过付费奖金活动提交，而是直接在 GitHub 里提交公开议题。高危和严重级别的漏洞还可以继续通过 HackerOne 提交并进行保密。这样做的好处是维护团队压力降低，但缺点是攻击者也可以更早接触漏洞并想办法利用。查看全文：https://ourl.co/127495

知名开源项目 cURL 日前发布公告宣布从 2026 年 10 月 26 日开始，低危和中危漏洞报告应该直接提交到公开的 GitHub 仓库，而高危和严重级别的漏洞仍然可以通过 HackerOne 保密提交处理。

cURL 项目开发者丹尼尔表示，安全研究员可以对漏洞进行预先评估，然后按照严重等级分类提交漏洞。如果研究员无法判断漏洞等级则仍然可以通过私下渠道联系，此时开发团队会评估漏洞，若确认漏洞为低危或高危则会将其转为 GitHub 公开议题。

cURL 项目使用低危、中危、高危和严重评级，丹尼尔称过去数年收到的报告中，超过 90% 被评为低危或中危漏洞，只有少部分漏洞被评为高危甚至是严重级别的漏洞。

丹尼尔称随着漏洞报告数量持续增加，项目团队已经面临过重负担，部分 AI 辅助研究会尝试罕见的选项组合，将不太可能出现在真实应用中的异常行为报告为安全问题。这导致项目组需要挨个判断问题是否成立、是否影响现实使用、修复漏洞和发布安全公告。

公开处理中低危漏洞报告可以让更多开发者参与复核、完善修复并查找相似问题，也让发行版和用户更早看到相关信息。不过代价是漏洞细节会被提前公开，攻击者可能在修复发布前获得更多利用时间。