A CVE Dispute

curl 维护者记录一个 wildcard 证书匹配 bug：前导点 hostname、hosts 映射、重定向和特定 TLS 后端必须同时出现，漏洞才可能成立；代码已在 2025-12-08 修复并加回归测试。libcurl 约有 300 亿安装，作者因此衡量发布 CVE 对生态补丁的巨大成本，将其定为低于 LOW；争议焦点是风险概率、披露激励和维护者的系统责任如何取舍。