Byla vydána verze projektu GNU Wget2 2.2.1, která představuje zcela přepracovanou variantu programu pro automatizaci rekurzivního stahování obsahu GNU Wget. Wget2 nabízí sadu dalších možností, podporuje stahování v několika paralelních vláknech, umožňuje přístup k dostupné funkcionalitě prostřednictvím knihovny libwget, podporuje protokoly HTTP/2 a TLS 1.3, umožňuje stahovat pouze upravená data, může ukládat data ze streamovacích serverů, správně zpracovává internacionalizované domény a je schopen přepisovat stahovaný obsah. Nástroj wget2 je dodáván pod licencí GPLv3+, zatímco knihovna je pod LGPLv3+.
Ve nové verzi byly odstraněny dvě zranitelnosti:
- CVE-2025-69194 – nedostatečná kontrola cest k souborům při zpracování obsahu ve formátu Metalink, používaném pro popis odkazů na soubory ke stažení. Při použití sekvence „../“ v cestách k souborům uvnitř bloku může útočník způsobit vytvoření, vyčištění nebo přepsání libovolných souborů mimo základní adresář, do kterého se stahuje. Například útočník může přepsat obsah ~/..ssh/authorized_keys nebo ~/..bashrc a dosáhnout spuštění svého kódu v systému.
- CVE-2025-69195 – přetečení vyrovnávací paměti ve funkci get_local_filename_real(), potenciálně schopné vést k provedení kódu při zpracování speciálně upravených URL na stahovaných stránkách nebo při zpracování přesměrování. Problém se projevuje při aktivaci možnosti „--restrict-file-names=windows|unix|ascii“ a je způsoben alokací pevného 1024-bajtového vyrovnávacího prostoru bez kontroly skutečné velikosti zapisovaných dat.
Mezi změny, které nesouvisejí s bezpečností, patří přidání možnosti „--show-progress“ pro indikaci pokroku stahování, použití místního času při uvedení možnosti „--no-use-server-timestamps“, podpora předpony ‘no_’ v konfiguračních parametrech a využití libnghttp2 pro testování HTTP/2.
Zdroj: opennet.ru
