#curl

What the bliss taught us

Tháng 7/2026, dự án curl tạm dừng nhận báo cáo lỗ hổng bảo mật trong 1 tháng ("summer of bliss") nhằm giảm tải cho maintainer. Kết quả khả quan: tinh thần nhóm cải thiện, khối công việc tồn đọng được giải quyết, không xảy ra sự cố bảo mật nào. Dự án nhận được sự ủng hộ từ cộng đồng, nhưng lo ngại về lượng báo cáo lỗ hổng dồn nén sau khi tạm dừng. Stenberg dự định lặp lại sáng kiến này trong tương lai.

Lập trình viên nên đọc bài này để hiểu cách tạm ngừng nhận báo cáo lỗ hổng có thể giải phóng thời gian cho việc phát triển chất lượng cao, tăng động lực và tránh tình trạng bão báo cáo sau khi trở lại hoạt động.

1,500 curl authors

Dự án curl vừa đạt mốc 1.500 tác giả đóng góp trong kho lưu trữ git, chỉ sau 4,5 năm kể từ khi vượt 1.000 tác giả. Daniel Stenberg cho biết dự án không còn là nỗ lực cá nhân khi ông không còn chịu trách nhiệm cho hơn nửa số commit, tác giả thứ 1.500 là Sameeh Jubran.

Bài viết cho thấy cách một dự án mở nguồn như curl đã phát triển nhờ cộng tác của hàng ngàn lập trình viên, giúp bạn hiểu cách xây dựng cộng đồng và chia sẻ kiến thức trong cộng đồng mã nguồn mở.

Do excellent vulnerability reports

Bài viết hướng dẫn cách viết báo cáo lỗ hổng bảo mật (vulnerability reports) chất lượng cao cho các dự án nguồn mở, do người duy trì dự án curl chia sẻ. Các khuyến nghị chính gồm: viết đoạn giới thiệu rõ ràng, cung cấp mã tái hiện lỗi (reproducer) độc lập, gửi kèm bản vá (patch) nếu có thể, chỉ rõ phiên bản bị ảnh hưởng, tuân thủ kênh gửi báo cáo ưu tiên của dự án và sẵn sàng hợp tác trong suốt quá trình. Ngoài ra, bài viết cũng đề cập cách thức viết advisory bảo mật và nhấn mạnh tôn trọng thời gian hạn chế của các maintainer tình nguyện.

Lập trình viên nên đọc bài này để cải thiện chất lượng báo cáo lỗ hổng cho các dự án mở nguồn, tránh gây khó khăn cho các maintainer và tăng cơ hội được giải quyết nhanh chóng.

a CVE dispute

Daniel Stenberg chia sẻ về lần tranh chấp đầu tiên liên quan đến CVE của dự án curl kể từ khi trở thành CVE Numbering Authority (CNA). Một phóng viên báo cáo lỗi wildcard certificate matching khi hostname có dấu chấm đầu tiên (tên DNS bất hợp pháp), đòi hỏi điều kiện tấn công rất cụ thể. Nhóm curl đã sửa lỗi nhưng từ chối gán CVE vì xếp mức độ nguy hiểm thấp hơn "LOW". Sau khi phóng viên khiếu nại lên MITRE, tổ chức này đã ba lần liên hệ nhưng cuối cùng vào ngày 24/6, MITRE xác nhận quyết định không cấp CVE. Bài viết cũng nhấn mạnh chi phí thực tế của CVEs khi libcurl có ~30 tỷ lượt cài đặt và lý do nhóm không muốn gây xáo trộn không cần thiết trong hệ sinh thái.

Bạn nên đọc bài này để hiểu cách các dự án công cộng như curl xử lý tranh chấp về CVE, từ đó tránh những rủi ro về quản lý thông tin bảo mật và hiệu quả trong việc phát triển phần mềm.

curl 8.21.0

Phiên bản curl 8.21.0 vừa ra mắt với 6 thay đổi mới, 276 bản sửa lỗi và kỷ lục 18 bản vá bảo mật (4 mức medium, 14 mức low). Tính năng mới bao gồm hỗ trợ named globs, HTTP/3 proxy CONNECT, MASQUE CONNECT-UDP và SHA256 host public key qua libssh, trong khi NTLM, SMB, TLS-SRP cùng các triển khai crypto cục bộ sẽ bị loại bỏ trong tương lai. Lịch trình phát hành tiếp theo là ngày 2 tháng 9.

Lập trình viên nên đọc bài này để cập nhật về các cập nhật bảo mật quan trọng trong phiên bản mới nhất của curl, đặc biệt là những lỗ hổng mới (bao gồm cả 14 CVE thấp cấp) và những thay đổi về tính năng an toàn, giúp bảo vệ ứng dụng của mình khỏi các nguy cơ mới trong tương lai.

Getting PagerDuty's Latest vCard with curl and awk — Nick Janetakis

Đây là giải pháp đơn giản, ít công sức để giải quyết vấn đề cụ thể, có thể áp dụng cho nhiều trường hợp sử dụng nhất thời.

Làm việc với API PagerDuty nhưng không biết cách tự động hóa lấy thông tin vCard đơn giản bằng các công cụ cơ bản như curl và awk? Bài viết này sẽ giúp bạn tiết kiệm thời gian và tránh phải viết nhiều dòng mã phức tạp.

Curl dropped from Ubuntu 26.04 minimal server images by mistake

Ubuntu 26.04 LTS vô tình loại bỏ curl khỏi các image máy chủ minimal, nhưng Canonical đã khắc phục bằng cách đưa nó trở lại. Curl là công cụ phổ biến dùng để truyền tải dữ liệu qua giao thức URL.

Lập trình viên nên đọc bài này vì nó cảnh báo về một lỗi cơ bản trong việc cấu hình hệ thống minimal của Ubuntu, giúp họ tránh tình trạng mất công cụ quan trọng như curl trong các môi trường sản xuất hoặc phát triển, ảnh hưởng trực tiếp đến việc kiểm tra API, tải xuống mã nguồn hoặc debug liên kết.

[PR #22159] ext/curl: expose SOCKOPT/OPENSOCKET/CLOSESOCKET callbacks

A PHP internals PR (#22159) proposes exposing three libcurl socket callbacks — CURLOPT_SOCKOPTFUNCTION, CURLOPT_OPENSOCKETFUNCTION, and CURLOPT_CLOSESOCKET FUNCTION — in PHP's ext/curl extension for PHP 8.6. The primary motivation is to give PHP developers a native, reliable way to perform SSRF filtering by validating the resolved peer IP before a connection is established, and to enable low-level socket tuning (SO_BINDTODEVICE, SO_MARK, keepalive, TCP_NODELAY, etc.) without resorting to ext/ffi. The callbacks bridge to ext/sockets, exposing real Socket objects usable with socket_set_option() and socket_close(). CI passes on Linux, macOS, FreeBSD, Windows, and ASAN.

A curl mountain movie

Daniel Stenberg, curl's creator, shares a visualization called 'the mountain' that tracks known vulnerabilities in curl across its entire history from 1998 to 2026. He created a script that renders the vulnerability chart for every month since curl's inception, producing a movie showing how the vulnerability count grew over time. Currently, curl 7.34.0 holds the record with 101 known vulnerabilities. The post also explores a notable drop in vulnerabilities around 2016 following a Cure53 security audit, though the exact cause remains unclear. The data is sourced from curl's vulnerability database and git history, with images assembled into a video using ffmpeg.

Posting explains from tools (and not web browsers) – select * from depesz;

Giờ đây, explain.depesz.com hỗ trợ phản hồi JSON khi gửi kế hoạch EXPLAIN của PostgreSQL qua curl hoặc các công cụ HTTP khác bằng cách thêm header Accept: application/json, trả về ID kế hoạch, URL hiển thị và URL xóa kèm khóa tương ứng để quản lý tự động.

Lập trình viên nên đọc bài này để khám phá cách tối ưu hóa quản lý và xử lý các kết quả EXPLAIN PostgreSQL thông qua API JSON, giúp tiết kiệm thời gian và tránh việc phải xử lý HTML bằng cách sử dụng các công cụ HTTP như curl một cách hiệu quả.

Trailing dots are the worst

curl 8.21.0 đã sửa ba lỗi do dấu chấm cuối trong hostname gây ra: không nhận dạng đúng địa chỉ IPv4 (192.168.0.1.), vô hiệu hóa logic HSTS với dấu chấm kép, và bypass Public Suffix List khi đặt cookie. Tác giả cho rằng dấu chấm cuối luôn tồn tại và sẽ tiếp tục gây lỗi cạnh trường.

Lập trình viên nên đọc bài này vì các lỗi về dấu chấm cuối (trailing dots) trong tên miền, IP hoặc cookie có thể gây ra các vấn đề bảo mật nghiêm trọng như chứng minh CVE-8924, ảnh hưởng đến TLS và xử lý cookie không an toàn.