В curl до версии 7.86.0 можно было обойти проверку HSTS, чтобы обманом заставить его оставаться с HTTP. Используя поддержку HSTS, curl можн…

В curl до версии 7.86.0 можно было обойти проверку HSTS, чтобы обманом заставить его оставаться с HTTP. Используя поддержку HSTS, curl можно инструктировать использовать HTTPS напрямую (вместо использования небезопасного шага HTTP в виде открытого текста), даже если HTTP указан в URL-адресе. Этот механизм можно было обойти, если имя хоста в данном URL-адресе использует символы IDN, которые заменяются аналогами ASCII в рамках преобразования IDN, например, с использованием символа UTF-8 U+3002 (IDEOGRAPHIC FULL STOP) вместо общей ASCII полной остановки U+002E (.). Самая ранняя затронутая версия — 7.77.0 2021-05-26.