Считать CVE у Rust и C++ — ловушка: один пример с curl объясняет почему (kobzol.github.io)
Тезис автора: если функция на Rust не помечена unsafe, её нельзя использовать неправильно в смысле памяти — значит, любой баг там это дыра в самой библиотеке. В C и C++ ответственность лежит на вызывающем коде, и ошибка того же класса в CVE не попадает.
Тред разошёлся жёстко. Одни: CVE-счётчики настолько бесполезны, что любые рассуждения о них — повод игнорировать оратора. Другие, со ссылкой на Страуструпа: большинство таких багов это C-стиль в C++, а современный C++ с надёжными библиотеками закрывает разрыв.
Войдите, чтобы сохранить