UtgÄvan av projektet GNU Wget2 2.2.1 Àr tillgÀnglig, vilket Àr en helt omarbetad version av programmet för automatisk rekursiv nedladdning av innehÄll frÄn GNU Wget. Wget2 erbjuder en uppsÀttning extra alternativ, stödjer nedladdning med flera trÄdar, möjliggör anvÀndning av tillgÀnglig funktionalitet via biblioteket libwget, stöder protokollen HTTP/2 och TLS 1.3, lÄter dig bara ladda ner Àndrade data, kan spara data frÄn sÀndningsservrar, hanterar korrekt internationella domÀnnamn och kan omkoda laddat innehÄll. Verktyget wget2 distribueras under GPLv3+-licensen, medan biblioteket Àr under LGPLv3+.
I den nya versionen har tvÄ sÄrbarheter ÄtgÀrdats:
- CVE-2025-69194 â bristande kontroll av filvĂ€gar vid bearbetning av Metalink-formatet, som anvĂ€nds för att beskriva lĂ€nkar till filer för nedladdning. Genom att anvĂ€nda sekvensen "..\/" i filvĂ€gar inom blocket <file name="âŠ"> kan en angripare Ă„stadkomma skapande, rensning eller överskrivning av godtyckliga filer utanför den grundlĂ€ggande katalogen dĂ€r nedladdning sker. Till exempel kan en angripare överskriva innehĂ„llet i ~\/ .ssh\/authorized_keys eller ~\/ .bashrc och utföra sin kod i systemet.
- CVE-2025-69195 â buffertöverskridning i koden för stĂ€dning av filnamn i funktionen get_local_filename_real(), vilket potentiellt kan leda till kodexekvering vid bearbetning av speciellt utformade URL:er pĂ„ nedladdningssidor eller vid bearbetning av omdirigeringar. Problemet upptrĂ€der nĂ€r alternativet "ârestrict-file-names=windows|unix|ascii" Ă€r aktiverat och orsakas av allokering av en fast 1024-byte buffer utan kontroll av den faktiska storleken pĂ„ de skrivna data.
FrĂ„n icke-sĂ€kerhetsrelaterade förĂ€ndringar kan man notera tillĂ€gget av alternativet "âshow-progress" för att indikera nedladdningsprogress, anvĂ€ndning av lokal tid vid specifikationen av alternativet "âno-use-server-timestamps", stöd för prefixet âno_â i konfigurationsparametrar och anvĂ€ndning av libnghttp2 för testning av HTTP/2.
KĂ€lla: opennet.ru
