{"id":153405,"date":"2026-01-05T17:12:15","date_gmt":"2026-01-05T15:12:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov"},"modified":"2026-01-05T17:12:15","modified_gmt":"2026-01-05T15:12:15","slug":"v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-gnu-wget2-2-2-1-ustranena-uyazvimost-dopuskayushhaya-perezapis-proizvolnyh-fajlov","title":{"rendered":"In GNU Wget2 2.2.1 is een kwetsbaarheid verholpen die het mogelijk maakte om willekeurige bestanden te overschrijven.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van het GNU Wget2-project 2.2.1 is beschikbaar, een volledig herschreven en herwerkte versie van het programma voor het automatisch downloaden van inhoud op een recursieve manier via GNU Wget. Wget2 biedt een set extra opties, ondersteunt meerdere gelijktijdige downloads, maakt gebruik van beschikbare functionaliteit via de libwget-bibliotheek, ondersteunt de protocollen HTTP\/2 en TLS 1.3, biedt de mogelijkheid om alleen gewijzigde gegevens te downloaden, kan gegevens van streamingservers opslaan, verwerkt internationale domeinnamen correct en kan gedownloade inhoud opnieuw coderen. De wget2-tool wordt geleverd onder de GPLv3+-licentie, terwijl de bibliotheek onder de LGPLv3-licentie valt. <\/p>\n
In de nieuwe versie zijn twee kwetsbaarheden verholpen: <\/p>\n
\n
CVE-2025-69194 \u2014 gebrek aan adequate controle van bestandsroutes bij het verwerken van content in het Metalink-formaat, dat wordt gebruikt voor het beschrijven van koppelingen naar te downloaden bestanden. Door de reeks \u2018..\\\/\u2019 in bestandsroutes binnen de te gebruiken, kan een aanvaller bereiken dat willekeurige bestanden buiten de basisdirectory worden aangemaakt, gewist of overschreven. Een aanvaller kan bijvoorbeeld de inhoud van ~\/ .ssh\/authorized_keys of ~\/ .bashrc overschijven en zo zijn code in het systeem uitvoeren.\n
CVE-2025-69195 \u2014 bufferoverflow in de code voor het opschonen van bestandsnamen in de functie get_local_filename_real(), wat mogelijk kan leiden tot code-uitvoering bij het verwerken van speciaal gemaakte URL's op te downloaden pagina's of bij het verwerken van omleidingen. Het probleem doet zich voor wanneer de optie \u2018\u2014restrict-file-names=windows|unix|ascii\u2019 is ingeschakeld en wordt veroorzaakt door het toewijzen van een vaste buffer van 1024 bytes zonder controle op de werkelijke grootte van de te schrijven gegevens. <\/ul>\n
Onder niet-beveiligingsgerelateerde wijzigingen kan de toevoeging van de optie \u2018\u2014show-progress\u2019 voor het aangeven van de downloadvoortgang worden opgemerkt, het gebruik van lokale tijd bij het opgeven van de optie \u2018\u2014no-use-server-timestamps\u2019, ondersteuning voor het prefix \u2018no_\u2019 in configuratieparameters en het gebruik van libnghttp2 voor het testen van HTTP\/2. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"