CVE-2026-92390: -J no-clobber guarantee bypassed with 103 early hints
该报告还没有中文解读。
原文摘录
摘自原文（5522 字符中的一小部分）
I found a way for a server to defeat `--remote-header-name`'s (`-J`) no-clobber guarantee: with `curl -O -J -i`, sending a `103 Early Hints` before the final response (or an `ETag` ahead of `Content-Disposition` under `--etag-save`) lets a server overwrite an existing file it names via …
原文中的代码
#!/bin/sh
# Reproduces AISLE-2026-0115-00244: curl -O -J -i lets a server's 103 Early
# Hints defeat -J's O_EXCL no-clobber protection when Content-Disposition
# names the same file as the URL basename.
set -e
MODE="$1" # exploit (103 first) | control (no 103)
PORT="${VF_PORT:-18080}" …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 curl 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @giant_anteater · 版权归作者与 curl 所有