O Desastre Pontilhado do Curl: Dois CVEs e uma Perseguição Sem Fim

A equipe do curl enfrentou uma luta persistente com pontos finais em nomes de host em URLs. Inicialmente os ignorando, o curl posteriormente restabeleceu o suporte para sites que exigem pontos finais. No entanto, essa alteração inadvertidamente introduziu duas vulnerabilidades de segurança (CVE-2022-27779 e CVE-2022-30115) afetando o tratamento de cookies e o mecanismo HSTS, respectivamente. Essas vulnerabilidades decorreram do tratamento inadequado de pontos finais, levando a correspondências de domínio incorretas. O curl 7.83.1 corrige esses problemas, mas o autor suspeita que isso pode ser apenas o começo de uma batalha prolongada.