SMTP connection reuse ignores --ssl-reqd / CURLOPT_USE_SSL and reuses a clear-text STARTTLS session on current master
该报告还没有中文解读。
原文摘录
摘自原文（9557 字符中的一小部分）
Summary: Current master reintroduces a STARTTLS connection-reuse bug in SMTP. After commit `91dcf4e610` (`url: url_match_destination fix`), curl/libcurl can reuse an already-established clear-text `smtp://` session for a later logical request that explicitly requires TLS via `--ssl-reqd` or …
原文中的代码
set -euo pipefail
ROOT="$PWD"
TMPDIR="$(mktemp -d)"
trap 'jobs -p | xargs -r kill 2>/dev/null || true; rm -rf "$TMPDIR"' EXIT
find_curl_bin() {
local cand out
for cand in "$ROOT"/build-*/src/curl "$ROOT"/src/curl; do
[ -x "$cand" ] || continue
out="$("$cand" --version 2>/dev/null || …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @hualuo · 版权归作者与 curl 所有