La sortie du projet GNU Wget2 2.2.1 est disponible, développant une version entièrement réécrite et remaniée du programme pour automatiser le téléchargement récursif de contenu de GNU Wget. Wget2 offre un ensemble d'options supplémentaires, prend en charge les téléchargements multithreads, permet d'utiliser les fonctionnalités disponibles via la bibliothèque libwget, prend en charge les protocoles HTTP/2 et TLS 1.3, permet de télécharger uniquement les données modifiées, peut conserver les données des serveurs de streaming, traite correctement les noms de domaine internationalisés et peut re-encoder le contenu téléchargé. L'outil wget2 est distribué sous la licence GPLv3+, tandis que la bibliothèque est sous LGPLv3+.
La nouvelle version corrige deux vulnérabilités :
- CVE-2025-69194 — absence de vérification adéquate des chemins de fichiers lors du traitement de contenu au format Metalink, utilisé pour décrire les liens vers des fichiers à télécharger. En utilisant la séquence « ..\/ » dans les chemins de fichiers à l'intérieur du bloc <file name=»…»>, un attaquant peut créer, supprimer ou écraser des fichiers arbitraires en dehors du répertoire de base dans lequel le téléchargement a lieu. Par exemple, un attaquant peut écraser le contenu de ~\/ .ssh\/authorized_keys ou ~\/ .bashrc et exécuter son code dans le système.
- CVE-2025-69195 — débordement de tampon dans le code de nettoyage des noms de fichiers dans la fonction get_local_filename_real(), pouvant potentiellement conduire à l'exécution de code lors du traitement d'URL formatées spécialement sur les pages téléchargées ou lors du traitement des redirections. Le problème se manifeste lorsque l'option « —restrict-file-names=windows|unix|ascii » est activée et est causé par l'allocation d'un tampon fixe de 1024 octets sans vérification de la taille réelle des données écrites.
Parmi les changements non liés à la sécurité, on peut noter l'ajout de l'option « —show-progress » pour indiquer la progression du téléchargement, l'utilisation de l'heure locale lors de l'indication de l'option « —no-use-server-timestamps », le support du préfixe 'no_' dans les paramètres de configuration et l'utilisation de libnghttp2 pour tester HTTP/2.
Source : opennet.ru
