BetaBeta: базовая защита бесплатно, расширенный тариф — 90 ₽ в день.Проект в стадии beta — базовая защита навсегда бесплатно, расширенный тариф — 90 ₽ в день с поминутным списанием.
Практический справочник для бизнеса
Разбираем известные уязвимости простым языком: затронут ли ваш сайт, что обновить и какие признаки проверить. Если подключить BotProtection, автоматизированные запросы можно отфильтровать на уровне защиты до того, как они попадут на сайт. Это заметно снижает вероятность, что бот доберётся до уязвимого компонента и начнёт его проверять или атаковать, но не заменяет исправление уязвимой CMS, плагина или библиотеки.
Обновлено: 6 ноября 2026. Каждая статья проверяется по первоисточникам.
Показаны 1–12 из 145
CVE-2024-2004
Проверьте curl/libcurl 7.85.0–8.6.0 в скриптах, которые задают параметр --proto или CURLOPT_PROTOCOLS_STR и отключают все протоколы. В этом необычном случае набор по умолчанию оставался разрешённым; исправлено в 8.7.0.
Сопровождающим скрипты и приложения, которые программно формируют список разрешённых протоколов curl.
Читать разборCVE-2024-0853
Проверьте curl/libcurl 8.5.0 с OpenSSL, если используется только TLS 1.2 и проверка OCSP stapling. Неудачная проверка могла оставить TLS-сеанс в кэше для повторного использования; исправлено в 8.6.0.
Разработчикам и администраторам приложений на curl/libcurl с OpenSSL, TLS 1.2 и проверкой OCSP stapling.
Читать разборCVE-2023-27534
Проверьте curl/libcurl 7.18.0–7.88.1, если программа принимает SFTP-пути с тильдой от пользователя. Ошибка преобразования пути могла направить операцию в неожиданный каталог; исправление появилось в 8.0.0.
Владельцам файловых обменников, выгрузок и резервного копирования через SFTP, особенно если пользователь может выбрать удалённый путь.
Читать разборCVE-2023-27533
Если программа передаёт пользовательское имя или настройки в TELNET через curl/libcurl 7.7–7.88.1, проверьте обработку этих данных. Служебные байты могли изменить согласование соединения; исправление появилось в 8.0.0.
Администраторам старых интеграций и разработчикам программ, которые обращаются к оборудованию по TELNET через curl. Владельцу системы следует выяснить, кто может задавать имя и параметры соединения.
Читать разборCVE-2023-23916
Проверьте загрузчики с curl/libcurl 7.57.0–7.87.0 и поддержкой сжатия gzip, brotli или zstd. Несколько заголовков ответа позволяли обойти общий предел этапов распаковки и увеличить расход памяти; исправлено в 7.88.0.
Владельцам загрузчиков файлов, проверки ссылок, мониторинга сайтов и фоновых интеграций, которые получают ответы внешних серверов через curl/libcurl.
Читать разборCVE-2023-27536
Проверьте корпоративные интеграции с libcurl 7.22.0–7.88.1, Kerberos и изменяемым CURLOPT_GSSAPI_DELEGATION. Повторная передача могла использовать соединение с прежними условиями делегирования прав; исправлено в 8.0.0.
Администраторам корпоративного единого входа и разработчикам интеграций, где сервер получает возможность действовать от имени пользователя. Владельцу сайта полезно выяснить, есть ли такой механизм в фоновых заданиях и внутренних сервисах.
Читать разборCVE-2024-2379
Проверьте curl/libcurl 8.6.0, если сборка использует wolfSSL и HTTP/3/QUIC. При ошибочном имени шифра или группы кривых путь обработки ошибки мог пропустить проверку сертификата; исправлено в 8.7.0.
Разработчикам и администраторам приложений на libcurl, использующих HTTP/3/QUIC и wolfSSL.
Читать разборCVE-2023-27535
Если приложение по очереди передаёт файлы с разными настройками FTP, проверьте libcurl 7.13.0–7.88.1. Библиотека могла использовать уже открытое соединение, не учтя смену важных параметров; исправление появилось в 8.0.0.
Владельцам автоматической выгрузки файлов, резервного копирования и обмена с партнёрами через FTP. Передайте разработчику список заданий, использующих libcurl: библиотеку передачи данных, встроенную во многие программы.
Читать разборCVE-2024-2398
Проверьте приложения с libcurl 7.44.0–8.6.0, если они разрешают HTTP/2 server push. При отклонении push с более чем 1000 заголовками память не освобождалась; исправлено в 8.7.0.
Разработчикам и администраторам приложений, которые используют libcurl с HTTP/2 server push.
Читать разборCVE-2023-28322
Проверьте приложения с libcurl 7.7–8.0.1, если один и тот же easy handle повторно использовали сначала для PUT с callback чтения, затем для POST с CURLOPT_POSTFIELDS. Библиотека могла неожиданно запросить данные у callback; исправлено в 8.1.0.
Разработчикам приложений, которые используют libcurl API, callback чтения и повторно используют easy handle между запросами.
Читать разборПрактический разбор · Docker
Доступ к Docker daemon позволяет управлять контейнерами и может дать фактический root-доступ к хосту. Проверьте права на Unix socket и не открывайте удалённый API без взаимной TLS-аутентификации или защищённого SSH-туннеля.
Администраторам Docker-хостов, CI-систем и команд, которым нужен удалённый Docker context.
Читать разборПрактический разбор · Docker
Rootless mode запускает Docker daemon и контейнеры внутри user namespace от непривилегированного пользователя. Проверьте требования, активный context и ограничения совместимости, не выдавая rootful socket ради удобства.
Администраторам Linux-хостов и команд CI, которым не требуется управление Docker от root.
Читать разборКаждый разбор содержит ссылки на источники. Перед изменениями производственной системы проверяйте актуальные инструкции поставщика программного обеспечения.
BotProtection фильтрует автоматизированные запросы до сайта. Так вероятность успешной атаки становится значительно ниже, пока вы устанавливаете обновления и устраняете саму уязвимость.
