Está disponível a versão 2.2.1 do projeto GNU Wget2, que desenvolve uma versão reescrita e completamente reformulada do programa para automação do download recursivo de conteúdo GNU Wget. O Wget2 oferece um conjunto adicional de opções, suporta downloads multithread, permite a utilização de funcionalidades disponíveis através da biblioteca libwget, suporta os protocolos HTTP/2 e TLS 1.3, possibilita o download apenas de dados alterados, pode salvar dados de servidores de streaming, processa corretamente nomes de domínio internacionalizados e pode recodificar o conteúdo baixado. A ferramenta wget2 é fornecida sob a licença GPLv3+, enquanto a biblioteca é sob LGPLv3+.
A nova versão corrige duas vulnerabilidades:
- CVE-2025-69194 — falta de verificação adequada dos caminhos de arquivos ao processar conteúdo no formato Metalink, utilizado para descrever links para arquivos a serem baixados. Usando a sequência "..\/" em caminhos de arquivos dentro do bloco , um atacante pode conseguir criar, limpar ou sobrescrever arquivos arbitrários fora do diretório base em que o download é realizado. Por exemplo, o atacante pode sobrescrever o conteúdo ~\/ .ssh\/authorized_keys ou ~\/ .bashrc e conseguir executar seu código no sistema.
- CVE-2025-69195 — estouro de buffer no código que limpa nomes de arquivos na função get_local_filename_real(), potencialmente capaz de levar à execução de código ao processar URLs especialmente formatadas em páginas baixadas ou ao processar redirecionamentos. O problema se manifesta ao ativar a opção "—restrict-file-names=windows|unix|ascii" e é causado pela alocação de um buffer fixo de 1024 bytes sem verificar o tamanho real dos dados sendo gravados.
Entre as alterações não relacionadas à segurança, destaca-se a adição da opção "—show-progress" para indicar o progresso do download, o uso do horário local ao especificar a opção "—no-use-server-timestamps", suporte ao prefixo 'no_' nas configurações e a utilização do libnghttp2 para testes de HTTP/2.
Fonte: opennet.ru
