आज के ट्रेंड पर वापस: PHP ने विंडोज़ वेब टूल अपडेट किए, ताकि एक खामी ठीक हो जिससे हमलावर कोड चला सकते थे
Poly रेटिंग · आज के ट्रेंड से

2026 में वेब रनटाइम को चुपचाप चलाने वाली शीर्ष 10 C लाइब्रेरी

Brotli के रिकॉर्ड में डिकोडर की केवल दो CVE हैं, पर उनमें से एक, CVE-2026-111497 (CVSS 3.1 के हिसाब से 9.8 रेटिंग), ने उसी अक्टूबर के सप्ताह में Node.js, .NET, Python पैकेज और PHP के Windows संस्करणों को सुधार जारी करने पर मजबूर कर दिया।

  • नंबर 1: OpenSSL
  • 10 स्थान

01अंतिम सूची

अग्रणी AI ने अलग-अलग अपनी दस जगहों की सूची बनाई। ऊपर एक संयुक्त नतीजा है जिसे जाँचना आसान है: हर जगह के साथ कारण, उसे शामिल करने वाले AI और, जहाँ AI ने दिया, स्रोत है।

क्रम: सबसे अधिक AI सहमति से सबसे कम तक।

चमकीला बैज: इस AI ने प्रविष्टि अपनी सूची में रखी। फीका बैज: नहीं रखी।

  1. 1

    OpenSSL

    PHP, Node.js, Python और .NET के साथ आने वाली TLS लाइब्रेरी। OpenCVE में इसके 330 CVE दर्ज हैं (दूसरे ट्रैकर 296 या 229 बताते हैं), जिनमें Heartbleed सबसे प्रसिद्ध है। इसका वेब पर सटीक हिस्सा कोई स्रोत नहीं मापता।

    शामिल किया: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. शामिल नहीं किया: ChatGPT, Wenxin.

    उनकी सूचियों में: Meta: सूची देखें · Grok: सूची देखें · Gemini: सूची देखें · Nova: 1 · StepFun: सूची देखें · Kimi: सूची देखें · DeepSeek: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 8
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Gemini

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Novaस्थान 1

      वेब की क्रिप्टोग्राफ़िक रीढ़, जो 67% HTTPS साइटों के TLS/SSL को संभालती है, पर बार-बार आने वाली मेमोरी-खराबी की खामियों से ग्रस्त।

    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Kimi

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  2. 2

    Brotli (libbrotli)

    कुल मिलाकर CVE कम हैं, पर एक डिकोडर की खामी, CVE-2026-111497, ने Node.js, .NET, Python और PHP में एक साथ सुधार करने पर मजबूर कर दिया। यह CVSS 3.1 के तहत 9.8, 4.0 के तहत 9.2 और माइक्रोसॉफ़्ट व रेड हैट पर 8.1 स्कोर पाता है।

    शामिल किया: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, Wenxin. शामिल नहीं किया: DeepSeek, Qwen.

    उनकी सूचियों में: ChatGPT: 1 · Meta: 7 · Grok: 2 · Gemini: 5 · Nova: 4 · StepFun: 2 · Kimi: 2 · Wenxin: 3

    हर AI ने क्या नोट किया 8
    • ChatGPTस्थान 1

      एक डिकोडर की खामी Node.js, Python, .NET और PHP के इकोसिस्टम तक पहुँची, और उद्धृत रिकॉर्ड में उसे CVSS 3.1 पर 9.8 रेटिंग मिली है।

    • Metaस्थान 7

      9.2 CVSS CVE-2026-111497, c/dec/decode.c 1.0.3-1.2.0 में out-of-bounds write – 290 MB/s कंप्रेस, 425 MB/s डीकंप्रेस पर zstd से 5% बेहतर, पर जटिल prefix trees।

      स्रोत ↗
    • Grokस्थान 2

      अब भी स्थिर वेब का सबसे घना विजेता (gzip से 15–35% छोटा), पर अक्टूबर 2026 की decoder out-of-bounds write खामी (CVE-2026-111497, CVSS 9.2) ने दिखा दिया कि जटिल state machines सबसे बड़ी हमले की सतह क्यों बनती हैं।

      स्रोत ↗
    • Geminiस्थान 5

      122 KB की स्थिर डिक्शनरी से 3.65x का बेजोड़ टेक्स्ट कमी-अनुपात हासिल करता है, पर exposed ingress रनटाइम को मेमोरी-खराबी के लिए आपातकालीन रिमोट पैच की ज़रूरत पड़ी।

      स्रोत ↗
    • Novaस्थान 4

      Google का उच्च-रेशियो कंप्रेसर, अब CVE-2026-111497 के लिए बदनाम, जो गलत बनाई स्ट्रीम के ज़रिए remote code execution देता है।

    • StepFunस्थान 2

      लाइव वेब पर सबसे अच्छा रेशियो – और अक्टूबर 2026 में remote-code-execution वाली डिकोडर बग देने वाला अकेला codec।

    • Kimiस्थान 2

      वेब टेक्स्ट पर सबसे अच्छा रेशियो (gzip से 15–20% छोटा) – और इसी हफ़्ते से एक बिना प्रमाणीकरण वाला लाइव decoder RCE (CVE-2026-111497)।

    • Wenxinस्थान 3

      120 KB की अंतर्निर्मित स्थिर डिक्शनरी मज़बूत टेक्स्ट कंप्रेशन देती है, पर अब 2026 की एक गंभीर out-of-bounds write खामी का सार्वजनिक PoC भी साथ लाती है।

      स्रोत ↗
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  3. 3

    zlib

    PHP, Node.js, nginx, Python और curl में डिफ़ॉल्ट gzip का रास्ता। OpenCVE में इसके 19 CVE हैं। सबसे गंभीर, CVE-2022-37434 (inflate() में हीप ओवरफ़्लो), NVD पर 9.8 और आईबीएम पर 7.3 स्कोर पाता है।

    शामिल किया: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. शामिल नहीं किया: ChatGPT, Wenxin.

    उनकी सूचियों में: Meta: 2 · Grok: 3 · Gemini: 6 · Nova: 2 · StepFun: 9 · Kimi: 3 · DeepSeek: 3 · Qwen: 5

    हर AI ने क्या नोट किया 8
    • Metaस्थान 2

      W3Techs के अनुसार 82% वेब इसे इस्तेमाल करता है – 390 MB/s डीकंप्रेस, सरल LZ77+Huffman, दशक में सिर्फ़ 1 बड़ा heap overflow, CVE-2022-37434।

    • Grokस्थान 3

      सार्वभौमिक बैकअप विकल्प, जो अब भी हर ब्राउज़र और HTTP स्टैक में आता है; परिपक्व है, पर दशकों बाद भी heap-overflow CVE जुड़ते रहते हैं।

    • Geminiस्थान 6

      AVX2 vectorization से मानक DEFLATE डीकंप्रेशन को 850 MB/s तक दोगुना करता है, और सख़्त RFC 1951 पिछली-संगतता बनाए रखता है।

      स्रोत ↗
    • Novaस्थान 2

      gzip और deflate को चलाने वाली व्यापक कंप्रेशन लाइब्रेरी, जिसका दशकों पुराना buffer-overread और overflow खामियों का इतिहास है।

    • StepFunस्थान 9

      zlib की ड्रॉप-इन जगह ले सकने वाला, जो मापने पर तेज़ है – और अपनी छोटी, पर असली CVE सूची लिए चलता है।

      स्रोत ↗
    • Kimiस्थान 3

      हर क्लाइंट जिसे समझता है, वही आधार: 93.4% साइटें रिस्पॉन्स कंप्रेस करती हैं, और लगभग सारे बाइट 30 साल पुराने inflate() में जाकर खुलते हैं।

    • DeepSeekस्थान 3

      तीन दशकों से इंटरनेट का डिफ़ॉल्ट: 2.743x रेशियो और 390 MB/s डिकोड, पर 14–19 CVE इसे सबसे ज़्यादा ऐतिहासिक हमलों वाला वेब codec बनाती हैं।

    • Qwenस्थान 5

      HTTP की 30 साल पुरानी रीढ़, जो integer wraparounds की बड़ी, अच्छी तरह दस्तावेज़ित सूची के बदले सार्वभौमिक संगतता देती है।

      स्रोत ↗
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  4. 4

    libxml2

    PHP DOM, Python lxml और Ruby Nokogiri के पीछे लगा, असुरक्षित स्रोत से आने वाला XML पढ़ता है। ट्रैकर के हिसाब से इसके CVE की गिनती 101 से 133 तक जाती है। CVE-2025-49796 (मेमोरी में गड़बड़ी) को 9.1 स्कोर मिला।

    शामिल किया: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. शामिल नहीं किया: ChatGPT, Wenxin.

    उनकी सूचियों में: Meta: सूची देखें · Grok: सूची देखें · Gemini: सूची देखें · Nova: 5 · StepFun: सूची देखें · Kimi: सूची देखें · DeepSeek: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 8
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Gemini

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Novaस्थान 5

      PHP, Python और Ruby का XML पार्सर, जिसमें entity expansion और buffer संभालने में buffer-overflow की पुरानी समस्याएँ रही हैं।

      स्रोत ↗
    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Kimi

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  5. 5

    libcurl

    PHP के curl एक्सटेंशन और pycurl के अंदर आता है। NVD ने CVE-2023-38545 SOCKS5 हीप ओवरफ़्लो को 9.8 स्कोर दिया, फिर भी curl के रखरखावकर्ता कहते हैं कि 2021 के बाद परियोजना ने HIGH गंभीरता की केवल दो CVE प्रकाशित की हैं।

    शामिल किया: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. शामिल नहीं किया: ChatGPT, Nova.

    उनकी सूचियों में: Meta: सूची देखें · Grok: सूची देखें · Gemini: सूची देखें · StepFun: सूची देखें · Kimi: सूची देखें · DeepSeek: सूची देखें · Wenxin: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 8
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Gemini

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Kimi

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Wenxin

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  6. 6

    PCRE2

    PHP के preg_* फ़ंक्शन और nginx के location ब्लॉक के पीछे का regex इंजन। PCRE2 की 19 CVE हैं और बड़े PCRE परिवार की 66। एक JIT खामी, CVE-2022-1587, सीमा के बाहर पढ़ना है, जिसे 9.1 स्कोर मिला।

    शामिल किया: ChatGPT, Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Qwen. शामिल नहीं किया: Nova, Wenxin.

    उनकी सूचियों में: ChatGPT: 6 · Meta: सूची देखें · Grok: सूची देखें · Gemini: सूची देखें · StepFun: सूची देखें · Kimi: सूची देखें · DeepSeek: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 8
    • ChatGPTस्थान 6

      रेगुलर एक्सप्रेशन इंजन किसी मासूम-से दिखने वाले फ़ॉर्म फ़ील्ड के पीछे हो सकता है, जो हमलावर के भेजे टेक्स्ट को सिस्टम के लिए भारी पार्सिंग काम में बदल देता है।

      स्रोत ↗
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Gemini

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Kimi

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  7. 7

    SQLite

    PHP, Python और Node.js के साथ आता है। OpenCVE में इसके 87 CVE हैं, पर जेफ्रॉग इनमें से 50+ को LLM से बना शोर बताता है। असली 2026 की खामी: FTS5 में हीप पर लिखना (CVE-2026-11822/11824)।

    शामिल किया: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. शामिल नहीं किया: ChatGPT, Nova.

    उनकी सूचियों में: Meta: सूची देखें · Grok: सूची देखें · Gemini: सूची देखें · StepFun: सूची देखें · Kimi: सूची देखें · DeepSeek: सूची देखें · Wenxin: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 8
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Gemini

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Kimi

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Wenxin

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    8 AI ने इसे यहाँ रखा
    स्रोत ↗
  8. 8

    libpng

    PHP GD और Python Pillow में आने वाली हर PNG फ़ाइल को डिकोड करता है। 2025 के आख़िर के एक ही बैच ने पाँच CVE ठीक कीं, जिनमें हीप ओवरफ़्लो भी शामिल हैं (CVE-2025-64505 से CVE-2025-66293 तक)।

    शामिल किया: ChatGPT, Meta, Grok, DeepSeek, Wenxin, Qwen. शामिल नहीं किया: Gemini, Nova, StepFun, Kimi.

    उनकी सूचियों में: ChatGPT: 7 · Meta: सूची देखें · Grok: सूची देखें · DeepSeek: सूची देखें · Wenxin: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 6
    • ChatGPTस्थान 7

      इमेज प्रोसेसिंग अक्सर अपलोड पाइपलाइन, थंबनेल सेवाओं और कंटेंट मैनेजमेंट सिस्टम में अपने-आप होती है, डेवलपर के मुख्य रिक्वेस्ट कोड के बाहर।

      स्रोत ↗
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Wenxin

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    6 AI ने इसे यहाँ रखा
    स्रोत ↗
  9. 9

    libjpeg-turbo

    Pillow, GD और sharp के पीछे का JPEG डिकोडर, इसलिए हर अवतार अपलोड इससे होकर गुज़रता है। OpenCVE में इसके 17 CVE हैं, जिनमें CVE-2018-14498 भी है, जो एक ख़ास तरह से बनाई गई JPEG फ़ाइल से होने वाली heap over-read (हीप की सीमा से बाहर पढ़ाई) है।

    शामिल किया: ChatGPT, Meta, Grok, StepFun, DeepSeek, Qwen. शामिल नहीं किया: Gemini, Nova, Kimi, Wenxin.

    उनकी सूचियों में: ChatGPT: 9 · Meta: सूची देखें · Grok: सूची देखें · StepFun: सूची देखें · DeepSeek: सूची देखें · Qwen: सूची देखें

    हर AI ने क्या नोट किया 6
    • ChatGPTस्थान 9

      एक अकेली इमेज-प्रोसेसिंग सेवा हमलावर का भेजा बाइनरी डेटा स्वीकार कर सकती है, भले ही उसका सार्वजनिक API बस एक अपलोड एंडपॉइंट हो।

      स्रोत ↗
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • DeepSeek

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Qwen

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    6 AI ने इसे यहाँ रखा
    स्रोत ↗
  10. 10

    libexpat

    Python की स्टैंडर्ड लाइब्रेरी का XML पार्सर। OpenCVE में इसके 70 CVE हैं (दूसरे मिरर पर 65), और जून 2026 की एक ही रिलीज़ ने इनमें से 14 ठीक कीं।

    शामिल किया: Meta, Grok, StepFun, Kimi. शामिल नहीं किया: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.

    उनकी सूचियों में: Meta: सूची देखें · Grok: सूची देखें · StepFun: सूची देखें · Kimi: सूची देखें

    हर AI ने क्या नोट किया 4
    • Meta

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Grok

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • StepFun

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    • Kimi

      इसकी अपनी सूची में नाम अलग है: पूरी सूची खोलें।

      सूची देखें
    4 AI ने इसे यहाँ रखा
    स्रोत नहीं दिया गया

शीर्ष तीन के बारे में और ↓

02शीर्ष तीन के बारे में और

रैंकिंग ऊपर है। यहाँ शीर्ष तीन स्थानों के बारे में और जानकारी है: वे क्या हैं, यहाँ क्यों हैं, और क्या जानना उपयोगी है।

तीनों की तुलना अलग-अलग पैमानों पर की गई है: OpenSSL और zlib के लिए CVE की गिनती, और Brotli के लिए एक गंभीरता स्कोर, जो स्कोर देने वाले के हिसाब से भी बदलता है (9.8, 9.2 या 8.1)। OpenSSL की गिनती पर ट्रैकर एकमत नहीं हैं (330, 296 या 229)।

1OpenSSL

नं. 1 — OpenSSL. 10 में से 8 AI की सूचियों में; वहाँ मध्य स्थान: 1. यह PHP, Node.js, Python और .NET के भीतर TLS संभालती है, और मेमोरी भ्रष्ट करने वाली खामियों का सबसे लंबा रिकॉर्ड रखती है, जिसमें Heartbleed भी शामिल है।

क्या आप जानते हैं

  • Heartbleed दो बार, एक-दूसरे से स्वतंत्र रूप से खोजा गया था। गूगल के नील मेहता ने इसे 1 अप्रैल 2014 को OpenSSL को रिपोर्ट किया। सुरक्षा फर्म Codenomicon ने अपने टेस्टिंग टूल सुधारते हुए वही खामी खोजी, और वह अपनी तारीख 3 अप्रैल 2014 बताती है।

    स्रोत ↗
यह क्या है
वह मुख्य TLS और एन्क्रिप्शन लाइब्रेरी, जो PHP, Node.js, Python और .NET के साथ आती है।
इसकी बढ़त
इसके दर्ज CVE Brotli या zlib से कहीं ज़्यादा हैं: OpenCVE पर 330।
किसे जानना चाहिए
उनके लिए उपयोगी, जो जानना चाहते हैं कि वेब सर्वर का एन्क्रिप्शन कोड सबसे बड़े हमले का निशाना क्यों है।
  • पहुँच और मेमोरी-बग वाली CVEOpenCVE पर 330 CVE

विकिपीडिया · Wikidata

यह यहाँ क्यों है

  • जब Heartbleed सार्वजनिक हुआ, तब इंटरनेट के भरोसेमंद सुरक्षित वेब सर्वरों में से लगभग 17% यानी करीब पाँच लाख के असुरक्षित होने का अनुमान था। खामी वाला OpenSSL कोड 14 मार्च 2012 को 1.0.1 रिलीज़ के साथ फैल गया था।

    स्रोत ↗
क्या आप जानते हैं

  • Heartbleed का खराब कोड 31 दिसंबर 2011 को OpenSSL में आया, जब एक समीक्षक से बग छूट गया। यह मार्च 2012 में संस्करण 1.0.1 में गया, इसलिए यह लाइब्रेरी में दो साल से ज़्यादा पड़ा रहा, इसके बाद अप्रैल 2014 में गूगल के नील मेहता ने इसकी रिपोर्ट की।

    स्रोत ↗
इतिहास

  • 2014 में जब Heartbleed बग मिला, तब OpenSSL को कुछ ही स्वयंसेवक चला रहे थे, और उनमें से सिर्फ़ एक पूरे समय काम करता था। सालाना दान लगभग 2,000 अमेरिकी डॉलर था। यह बग 2012 से कोड में था।

    स्रोत ↗
ध्यान रखें

  • 2020 के एक अध्ययन में पाया गया कि Heartbleed के बाद कमिट प्रति माह तीन गुना हो गए, और 91 कमज़ोरियाँ खोजी और ठीक की गईं। इसका तर्क यह भी है कि किसी लाइब्रेरी कितनी सुरक्षित है, यह आँकने का कमज़ोरियों की गिनती एक कमज़ोर तरीका है।

    स्रोत ↗
आगे कहाँ देखें

  • OpenSSL की सुरक्षा सलाह सूची खोलें और सबसे नई प्रविष्टि पहले पढ़ें, और देखें कि वह किन OpenSSL संस्करणों को प्रभावित बताती है।

    स्रोत ↗
शीर्ष तीन की तुलना करें ↓

2Brotli (libbrotli)

नं. 2 — Brotli (libbrotli). 10 में से 8 AI की सूचियों में; वहाँ मध्य स्थान: 2.5. कुल मिलाकर CVE कम हैं, पर एक डिकोडर खामी ने Node.js, .NET, Python और PHP में एक साथ सुधार करने पर मजबूर किया।

क्या आप जानते हैं

  • Brotli के साथ छह भाषाओं के 13,504 शब्दों का अंतर्निहित शब्दकोश आता है, और वेब पर आम स्ट्रिंग भी। 120 ट्रांसफ़ॉर्म के साथ, जैसे उपसर्ग या प्रत्यय जोड़ना या बड़े अक्षर बदलना, यह 1,633,984 अलग-अलग शब्द व्यक्त कर सकता है।

    स्रोत ↗
यह क्या है
गूगल की कंप्रेशन लाइब्रेरी, जिससे वेब सर्वर और ब्राउज़र वेब पेज छोटे करते हैं।
इसकी बढ़त
एक बग, CVE-2026-111497, दूसरी दो लाइब्रेरी की किसी भी एक खामी से ज़्यादा रनटाइम को एक साथ प्रभावित कर गया।
किसे जानना चाहिए
डेवलपर्स के लिए उपयोगी यह जानना कि हर प्रोग्राम अपनी डिकोडर कॉपी साथ लेकर चलता है और उसे अपने अलग अपडेट की ज़रूरत होती है।
  • पहुँच और मेमोरी-बग वाली CVECVE-2026-111497, CVSS 9.8

विकिपीडिया · Wikidata

यह यहाँ क्यों है

  • Brotli डिकोडर का एक बग, CVE-2026-111497, Node.js, .NET, Bun, Envoy, Istio और Python पैकेज में सुधार माँग गया। गूगल इसे 9.2 (CVSS 4.0) देता है, जबकि रेड हैट और माइक्रोसॉफ़्ट इसे 8.1 देते हैं।

    स्रोत ↗

  • सुधार 27 फ़रवरी को Brotli के सोर्स में गया, लेकिन 21 अक्टूबर तक कोई रिलीज़ इसे लेकर नहीं आई। फिर Node.js के सुधार तीन शाखाओं में आए: 22.23.4, 24.22.1 और 26.12.1।

    स्रोत ↗
इतिहास

  • गूगल के इंजीनियर जिर्की अलाकुइजाला और ज़ोल्टान सबाडका ने 2013 में WOFF वेब फ़ॉन्ट फ़ाइलों को छोटा करने के लिए Brotli बनाया। सितंबर 2015 में इसे HTTP कंप्रेशन के लिए सामान्य उपयोग के लिए बढ़ाया गया, ताकि वेब सर्वर और ब्राउज़र इसे इस्तेमाल कर सकें।

    स्रोत ↗
ध्यान रखें

  • विशेषज्ञ इस पर एकमत नहीं हैं कि यह कितनी बुरी है। ओपनएआई इसे रिमोट कोड एक्ज़िक्यूशन बताता है, पर माइक्रोसॉफ़्ट की .NET सलाह इसे सूचीबद्ध नहीं करती। रेड हैट कहता है कि कोड एक्ज़िक्यूशन का कोई भरोसेमंद सार्वजनिक प्रमाण नहीं है, और साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी ने शोषण 'कोई नहीं' दर्ज किया है।

    स्रोत ↗

  • हर प्रोग्राम अपनी डिकोडर की अपनी कॉपी साथ लाता है, इसलिए हर एक को अलग से अपडेट करना होगा। Python में सिर्फ़ Brotli पैकेज इंस्टॉल करने से ही कोई ऐप खुल सकता है। Node.js तब fetch() के ज़रिए खुलता है, जब कोई रिस्पॉन्स Brotli इस्तेमाल करता है।

    स्रोत ↗
आगे कहाँ देखें

  • गूगल का Brotli प्रोजेक्ट पेज खोलें और पहले उसका विवरण पढ़ें, फिर RFC 7932 देखें, वह फ़ॉर्मेट विनिर्देश जिसका यह लाइब्रेरी पालन करती है।

    स्रोत ↗
ChatGPT ने इसे पहला स्थान दिया। उन्होंने इसमें क्या देखा

  • ChatGPT: एक डिकोडर की खामी Node.js, Python, .NET और PHP के इकोसिस्टम तक पहुँची, और उद्धृत रिकॉर्ड में उसे CVSS 3.1 पर 9.8 रेटिंग मिली है।

शीर्ष तीन की तुलना करें ↓

3zlib

नं. 3 — zlib. 10 में से 8 AI की सूचियों में; वहाँ मध्य स्थान: 3. PHP, Node.js, nginx, Python और curl में यह gzip का डिफ़ॉल्ट रास्ता है, पर इसका रिकॉर्ड OpenSSL से छोटा है।

क्या आप जानते हैं

  • मार्क एडलर ने zlib का डीकंप्रेशन कोड लिखा, और कंप्रेशन जां-लूप गैली ने लिखा। एडलर ने नासा के मार्स एक्सप्लोरेशन रोवर मिशन पर भी काम किया, जहाँ उन्होंने उस अवधारणा पर अध्ययन का नेतृत्व किया, जो बाद में 2003 के मिशन के लिए चुनी गई।

    स्रोत ↗
यह क्या है
पुरानी, सार्वभौमिक लाइब्रेरी, जो ज़्यादातर वेब सॉफ़्टवेयर में gzip कंप्रेशन के पीछे है।
इसकी बढ़त
इसकी सबसे गंभीर खामी, CVE-2022-37434, एक ही हीप ओवरफ़्लो है, और इसकी CVE सूची OpenSSL से काफ़ी छोटी है।
किसे जानना चाहिए
उनके लिए उपयोगी, जो जानना चाहते हैं कि वेब का कितना हिस्सा एक 30 साल पुरानी लाइब्रेरी पर टिका है।
  • पहुँच और मेमोरी-बग वाली CVEOpenCVE पर 19 CVE

विकिपीडिया · Wikidata

इतिहास

  • zlib का पहला सार्वजनिक संस्करण, 0.9, 1 मई 1995 को आया। यह मूल रूप से libpng इमेज लाइब्रेरी के लिए बनाया गया था, और इसे जां-लूप गैली और मार्क एडलर ने लिखा था।

    स्रोत ↗
शीर्ष तीन की तुलना करें ↓

शीर्ष तीन आमने-सामने

OpenSSLBrotli (libbrotli)zlib
AI सूचियों में8 / 108 / 108 / 10
पहुँच और मेमोरी-बग वाली CVEOpenCVE पर 330 CVECVE-2026-111497, CVSS 9.8OpenCVE पर 19 CVE
पहला स्थान दियाNovaChatGPT—

जिन स्थानों को बराबर AI ने चुना, वे AI सूचियों में उनके औसत स्थान के क्रम में हैं।

और रैंकिंग

03जानने योग्य

सूची बनाते समय AI ने क्या देखा।

PHP का एक ही एक्सटेंशन, php_curl.dll, पाँच नेटिव C लाइब्रेरी लोड करता है: libcrypto, libssl, brotlidec, libzstd और nghttp2।

किसने देखा:
शामिल किया: Kimi. शामिल नहीं किया: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.
स्रोत ↗

Brotli की गड़बड़ी हर इंस्टॉल पर नहीं पहुँचती। PHP कहता है कि cURL का अपने-आप जवाब खोलना डिफ़ॉल्ट रूप से बंद है, और .NET शर्त के साथ खुलने का दस्तावेज़ देता है। एक AI दावा करता है कि Guzzle इसे डिफ़ॉल्ट रूप से चालू कर देता है।

किसने देखा:
शामिल किया: ChatGPT, Meta, Wenxin. शामिल नहीं किया: Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen.
स्रोत ↗

गंभीरता के स्कोर इस पर निर्भर करते हैं कि गड़बड़ी को कौन आँकता है: zlib की CVE-2022-37434 NVD पर 9.8 और आईबीएम पर 7.3 है।

किसने देखा:
शामिल किया: Kimi. शामिल नहीं किया: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.
स्रोत ↗

जिन साइटों की सर्वर-साइड भाषा ज्ञात है, उनमें PHP का हिस्सा स्नैपशॉट और स्रोत के हिसाब से 69.2%, 69.3%, लगभग 73% और 75% बताया गया है।

किसने देखा:
शामिल किया: ChatGPT, Meta, Gemini, StepFun, Kimi. शामिल नहीं किया: Grok, Nova, DeepSeek, Wenxin, Qwen.
स्रोत ↗

04हमने कैसे गिना

सीधी भाषा में, बिना सूत्रों के।

1सवाल

आधुनिक वेब रनटाइम को चुपचाप चलाने वाली शीर्ष 10 साझा C/C++ लाइब्रेरी

2यह कहाँ लागू होता है

दुनिया भर में वेब बैकएंड और एप्लिकेशन रनटाइम की सुरक्षा

3हमने किन बातों पर ध्यान दिया

  • वेब सर्वर और बैकएंड भाषा इंजनों (PHP, Node.js, Python, .NET, Ruby) में दुनिया भर में रनटाइम की पहुँच
  • बिना प्रमाणीकरण वाली मेमोरी-गड़बड़ी की कमज़ोरियों की ऐतिहासिक संख्या और गंभीरता (CVSS 8.0+ बफ़र ओवरफ़्लो, हीप की गड़बड़ियाँ, सीमा के बाहर लिखना)
  • W3Techs वेब तकनीक सर्वे — सर्वर-साइड भाषा के हिसाब से वेबसाइटों का हिस्सा (ज्ञात भाषा वाली साइटों में PHP 69.2%, 27 अक्टूबर 2026) और वेब सर्वर के हिसाब से। यह साइटें गिनता है, लाइब्रेरी इंस्टॉल नहीं।
  • OpenCVE — हर विक्रेता या उत्पाद के हिसाब से गिने गए CVE रिकॉर्ड (OpenSSL 330, libxml2 116, SQLite 87, libexpat 70, zlib 19, libjpeg-turbo 17)
  • राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान का राष्ट्रीय भेद्यता डेटाबेस (NVD) — हर CVE रिकॉर्ड उसकी CWE श्रेणी (CWE-119/787/125) और CVSS स्कोर के साथ
  • रखरखावकर्ताओं के सुरक्षा पेज (curl, SQLite, OpenSSL) — हर परियोजना का अपना CVE इतिहास और गंभीरता रेटिंग, जो अक्सर NVD के स्कोर से मेल नहीं खाती

4रैंक किसने दी

अग्रणी AI: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen। हर एक ने स्वतंत्र रूप से दस स्थानों की अपनी सूची बनाई और हर स्थान के लिए स्रोत बताया।

5स्थान कैसे तय हुए

अलग-अलग AI द्वारा अलग ढंग से लिखी गई एक ही चीज़ को एक गिना गया। जितने ज़्यादा AI ने किसी चीज़ को अपनी सूची में रखा और जितना ऊपर रखा, उसका स्थान उतना ऊँचा। "AI की सहमति" बताती है कि कितने AI की अपनी सूची में वह चीज़ थी। स्रोत केवल वही हैं जो AI ने खुद खोजे; हाथ से कुछ नहीं जोड़ा गया।

05हर AI की अपनी सूची

🇺🇸 ChatGPT10 स्थान · 2 नोट

वही सवाल, जिसका जवाब अकेले ChatGPT ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Brotli C डिकोडर

    एक डिकोडर की खामी Node.js, Python, .NET और PHP के इकोसिस्टम तक पहुँची, और उद्धृत रिकॉर्ड में उसे CVSS 3.1 पर 9.8 रेटिंग मिली है।

  2. 2
    zlib और DEFLATE

    gzip के पीछे का मुख्य कंप्रेशन इंजन दशकों से इस्तेमाल हो रहा है, और डिकोडर की एक छोटी-सी खामी भी कई सॉफ़्टवेयर स्टैक में फैल सकती है।

    स्रोत ↗
  3. 3
    OpenSSL libcrypto और libssl

    एक साझा क्रिप्टोग्राफ़िक डिपेंडेंसी में पार्सिंग या मेमोरी प्रबंधन की एक गड़बड़ी TLS एंडपॉइंट, क्लाइंट और एम्बेडेड ऐप्स तक जोखिम फैला सकती है।

    स्रोत ↗
  4. 4
    libcurl

    जो लाइब्रेरी नेटवर्क एक्सेस को आसान बनाने के लिए बनी है, वही ऑटोमैटिक रिस्पॉन्स डीकंप्रेशन चालू होने पर खुद अविश्वसनीय इनपुट की सीमा बन सकती है।

    स्रोत ↗
  5. 5
    libxml2

    XML पार्सर जटिल इनपुट व्याकरण को संभालते हैं और कई बार अविश्वसनीय दस्तावेज़ों की प्रोसेसिंग करते हैं, इसलिए भले ही ऐप सुरक्षित भाषा में लिखा हो, पार्सर को मज़बूत बनाना ज़रूरी है।

  6. 6
    PCRE2 रेगुलर-एक्सप्रेशन लाइब्रेरी

    रेगुलर एक्सप्रेशन इंजन किसी मासूम-से दिखने वाले फ़ॉर्म फ़ील्ड के पीछे हो सकता है, जो हमलावर के भेजे टेक्स्ट को सिस्टम के लिए भारी पार्सिंग काम में बदल देता है।

    स्रोत ↗
  7. 7
    libpng

    इमेज प्रोसेसिंग अक्सर अपलोड पाइपलाइन, थंबनेल सेवाओं और कंटेंट मैनेजमेंट सिस्टम में अपने-आप होती है, डेवलपर के मुख्य रिक्वेस्ट कोड के बाहर।

    स्रोत ↗
  8. 8
    PCRE-संगत Oniguruma

    Ruby का managed ऑब्जेक्ट मॉडल हर native एक्सटेंशन या native रेगुलर-एक्सप्रेशन लागू करने को मेमोरी-सुरक्षित नहीं बना देता।

    स्रोत ↗
  9. 9
    libjpeg-turbo

    एक अकेली इमेज-प्रोसेसिंग सेवा हमलावर का भेजा बाइनरी डेटा स्वीकार कर सकती है, भले ही उसका सार्वजनिक API बस एक अपलोड एंडपॉइंट हो।

    स्रोत ↗
  10. 10
    libarchive

    आर्काइव एक्सट्रैक्ट करते समय हमलावर के भेजे छोटे-से बाइट्स एक ही ऑपरेशन में कई फ़ाइल नामों, मेटाडेटा फ़ील्ड और डीकंप्रेस्ड बफ़र में बदल जाते हैं।

    स्रोत ↗

ChatGPT ने क्या देखा

एक native लाइब्रेरी की खामी कई उत्पाद एडवाइज़री में दोहराई जा सकती है, पर इससे वह अलग-अलग मूल कारणों वाली कई खामियाँ नहीं बन जाती। अनूठे CVE को प्रभावित उत्पादों से अलग गिनें।

स्रोत ↗

मेमोरी-सुरक्षित ऐप कोड native डिकोडर के अंदर होने वाले सीमा से बाहर लिखने (out-of-bounds write) को नहीं रोक सकता। डिपेंडेंसी की सूची में बंडल किए गए बाइनरी, vendored सोर्स और statically linked कॉपी भी शामिल करने होंगे।

स्रोत ↗
🇺🇸 Meta10 स्थान · 2 नोट

वही सवाल, जिसका जवाब अकेले Meta ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (zstd) 1.5.7

    510 MB/s कंप्रेस, 1550 MB/s डीकंप्रेस, 2.896 रेशियो पर – gzip से 5 गुना तेज़, ज़्यादा रेशियो के साथ, और गंभीर CVE का इतिहास लगभग शून्य।

    स्रोत ↗
  2. 2
    zlib (gzip/DEFLATE) 1.3.1

    W3Techs के अनुसार 82% वेब इसे इस्तेमाल करता है – 390 MB/s डीकंप्रेस, सरल LZ77+Huffman, दशक में सिर्फ़ 1 बड़ा heap overflow, CVE-2022-37434।

  3. 3
    LZ4 1.10.0

    3850 MB/s डीकंप्रेस – सबसे तेज़ वेब एज डिकोडर, 2.101 रेशियो, फ़्रेम फ़ॉर्मेट इतना सरल कि रिकॉर्ड पर दूर से exploit होने वाली एक भी CVE नहीं है।

    स्रोत ↗
  4. 4
    Snappy 1.2.1

    1500 MB/s डीकंप्रेस – Google gRPC का डिफ़ॉल्ट, कच्चे literals के लिए Huffman छोड़ देता है, न्यूनतम state machine के बदले 2.089 रेशियो।

    स्रोत ↗
  5. 5
    LZO1X 2.10

    780 MB/s डीकंप्रेस, 2.106 रेशियो – 1996 के दौर का अति-कम-मेमोरी डिकोडर, जो अब भी Linux initramfs में है, integer overflow की सतह बहुत छोटी।

  6. 6
    Deflate (raw RFC1951)

    gzip जैसा ही कोर, पर 18-बाइट रैपर के बिना – वही 105 MB/s कंप्रेस, 390 MB/s डीकंप्रेस, HTTP deflate में इस्तेमाल, हमले की सतह = zlib घटा हेडर पार्सर।

  7. 7
    Brotli 1.2.0 (br)

    9.2 CVSS CVE-2026-111497, c/dec/decode.c 1.0.3-1.2.0 में out-of-bounds write – 290 MB/s कंप्रेस, 425 MB/s डीकंप्रेस पर zstd से 5% बेहतर, पर जटिल prefix trees।

    स्रोत ↗
  8. 8
    LZMA / xz 5.6

    gzip से लगभग 30% ज़्यादा रेशियो, पर डीकंप्रेस 20 गुना धीमा, और 2024 का xz backdoor CVE-2024-394 दिखाता है कि state machine में जोखिम है।

  9. 9
    bzip2 1.0.8

    Burrows-Wheeler + Huffman, LZ4 से 200 गुना धीमा, रेशियो gzip का ∼1.15x – RCE का इतिहास कम, पर डीकंप्रेशन बम (decompression bomb) अब भी संभव।

  10. 10
    LZW / compress (.Z)

    1970 के दशक का डिक्शनरी-आधारित तरीका, बिना entropy चरण के – रेशियो gzip का 0.9x, पेटेंट खत्म, पार्सर सरल, पर आज वेब पर लगभग इस्तेमाल नहीं।

    स्रोत ↗

Meta ने क्या देखा

स्तर -1 पर Zstd same i7-9700K Silesia पर 510 MB/s कंप्रेस और 1550 MB/s डीकंप्रेस देता है, जबकि gzip 105/390 और brotli 290/425 – gzip से 5 गुना तेज़, रेशियो 2.896 बनाम 2.743।

स्रोत ↗

GZIP अब भी राजा है: W3Techs के अनुसार ट्रैक की गई सभी साइटों में से 82% GZIP इस्तेमाल करती हैं, और अक्टूबर 2026 तक 93.4% किसी न किसी कंप्रेशन का इस्तेमाल करती हैं, इसलिए zlib की हमले की सतह सार्वभौमिक है, भले ही उसका कोड सबसे सरल हो।

स्रोत ↗
🇺🇸 Grok10 स्थान

वही सवाल, जिसका जवाब अकेले Grok ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (zstd)

    1+ GB/s पर डीकंप्रेस करता है और मध्यम-स्तर के Brotli रेशियो की बराबरी या उससे बेहतर है, बहुत कम CPU पर, इसलिए आखिरी 10% बैंडविड्थ बचत सस्ती पड़ती है, घातीय रूप से महँगी नहीं।

  2. 2
    Brotli

    अब भी स्थिर वेब का सबसे घना विजेता (gzip से 15–35% छोटा), पर अक्टूबर 2026 की decoder out-of-bounds write खामी (CVE-2026-111497, CVSS 9.2) ने दिखा दिया कि जटिल state machines सबसे बड़ी हमले की सतह क्यों बनती हैं।

    स्रोत ↗
  3. 3
    gzip / zlib deflate

    सार्वभौमिक बैकअप विकल्प, जो अब भी हर ब्राउज़र और HTTP स्टैक में आता है; परिपक्व है, पर दशकों बाद भी heap-overflow CVE जुड़ते रहते हैं।

  4. 4
    LZ4

    बेहद तेज़ डीकंप्रेशन (अक्सर 3 GB/s से ऊपर), पर सबसे कमज़ोर रेशियो की कीमत पर; तब आदर्श जब देरी बैंडविड्थ से ज़्यादा मायने रखे।

    स्रोत ↗
  5. 5
    Snappy

    Google का गति-प्राथमिक डिज़ाइन अब भी कई RPC और स्टोरेज रास्तों में दिखता है; अनुमानित कम-CPU डिकोड के लिए रेशियो जानबूझकर कुर्बान किया गया है।

    स्रोत ↗
  6. 6
    XZ / LZMA

    टेक्स्ट पर सबसे ऊँचे रेशियो, पर डीकंप्रेशन एक ऑर्डर धीमा है; जटिलता से वेब-सामने की CVE कम रहीं, क्योंकि इसे बिना प्रमाणीकरण वाले HTTP payloads के लिए शायद ही इस्तेमाल किया जाता है।

  7. 7
    LZO

    अब भी embedded और कुछ filesystem संदर्भों में मौजूद; रेशियो और गति gzip व LZ4 के बीच हैं, और सार्वजनिक CVE का बोझ छोटा है।

  8. 8
    bzip2

    पुराना उच्च-रेशियो विकल्प, जो लाइव वेब रिस्पॉन्स एन्कोडिंग में लगभग कभी इस्तेमाल नहीं होता, क्योंकि कंप्रेशन और डीकंप्रेशन दोनों आधुनिक HTTP के लिए बहुत धीमे हैं।

  9. 9
    deflate (raw / PNG-शैली)

    gzip जैसा ही एल्गोरिदम परिवार, पर हेडर के बिना; कई इमेज और आर्काइव फ़ॉर्मेट में अब भी मुख्य इंजन है, जिन्हें वेब रनटाइम को पार्स करना पड़ता है।

  10. 10
    lzma2 (XZ का रूप)

    क्लासिक LZMA से थोड़ा लचीला, पर अब भी उस कोने में है जिसे “अधिकतम रेशियो, न्यूनतम गति” कहते हैं, और जिसे वेब प्रोटोकॉल ज़्यादातर छोड़ चुके हैं।

🇺🇸 Gemini10 स्थान · 2 नोट

वही सवाल, जिसका जवाब अकेले Gemini ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (Zstd)

    वेब टेक्स्ट को प्रति कोर 1,200 MB/s से ज़्यादा पर डीकोड करता है, और उन प्रतिस्पर्धी codecs की स्थिर डिक्शनरी वाली हमले की सतह से बचता है जो परेशान करती थी।

    स्रोत ↗
  2. 2
    LZ4

    बाइट-संरेखित स्ट्रीमिंग को प्राथमिकता देकर 4,500 MB/s डीकंप्रेशन हासिल करता है, और पार्सर इतना संक्षिप्त है कि पार्सर-स्टेट की मेमोरी खराबी से बचा रहता है।

    स्रोत ↗
  3. 3
    Gzip / DEFLATE

    तीस साल की लगातार बाइनरी फ़ज़िंग के बावजूद संकुचित वेब ट्रैफ़िक के 47.1% को संभालता है, हालाँकि इसकी डिकोडिंग सीमा 350 MB/s है।

    स्रोत ↗
  4. 4
    Snappy

    परिवर्तनीय-लंबाई वाले Huffman entropy टेबल पूरी तरह छोड़ देता है, जिससे माइक्रोसेकंड में wire decoding की गारंटी मिलती है, पर ट्रांसफ़र पेलोड 15% बड़ा होता है।

    स्रोत ↗
  5. 5
    Brotli

    122 KB की स्थिर डिक्शनरी से 3.65x का बेजोड़ टेक्स्ट कमी-अनुपात हासिल करता है, पर exposed ingress रनटाइम को मेमोरी-खराबी के लिए आपातकालीन रिमोट पैच की ज़रूरत पड़ी।

    स्रोत ↗
  6. 6
    zlib-ng

    AVX2 vectorization से मानक DEFLATE डीकंप्रेशन को 850 MB/s तक दोगुना करता है, और सख़्त RFC 1951 पिछली-संगतता बनाए रखता है।

    स्रोत ↗
  7. 7
    LZO

    1996 में रियल-टाइम ring-buffer पार्सिंग में अग्रणी रहा, पर 2014 के integer overflow ने साबित किया कि बिना देखभाल वाला दशकों पुराना डिकंप्रेशन C कोड शायद ही सुरक्षित रूप से बूढ़ा होता है।

    स्रोत ↗
  8. 8
    bzip2

    टेक्स्ट को कुशलता से सिकोड़ने के लिए Burrows-Wheeler Transform इस्तेमाल करता है, पर 38 MB/s डीकंप्रेशन दर पर इनग्रेस सर्वरों के लिए अस्वीकार्य अड़चन बन जाता है।

    स्रोत ↗
  9. 9
    XZ / LZMA2

    संरचित एसेट्स पर 4.10x का असाधारण रेशियो देता है, पर हर आने वाले कनेक्शन के लिए 64 MB तक डीकंप्रेशन स्टेट मेमोरी चाहिए।

  10. 10
    Deflate64

    DEFLATE की स्लाइडिंग विंडो को 64 KB तक बढ़ाया, जिससे अजीब पार्सिंग केस जुड़े, पर आधुनिक स्ट्रीमिंग codecs वाला थ्रूपुट नहीं मिला।

Gemini ने क्या देखा

DEFLATE (3.12x) और Brotli (3.65x) के बीच आखिरी 10% पेलोड कटौती के लिए 122 KB की पूर्वनिर्धारित डिक्शनरी और बहु-स्तरीय dynamic Huffman टेबल चाहिए, जिनसे संदर्भ C पार्सर की स्टेट जटिलता 400% से ज़्यादा बढ़ गई।

स्रोत ↗

Zstandard में इस्तेमाल होने वाला Finite State Entropy (FSE) arithmetic coding जैसी भिन्नात्मक बिट-सटीकता देता है और प्रति कोर 1.2 GB/s से ज़्यादा पर डीकंप्रेस होता है, यानी उच्च कंप्रेशन के लिए असुरक्षित पार्सिंग जटिलता ज़रूरी नहीं।

स्रोत ↗
🇺🇸 Nova5 स्थान

वही सवाल, जिसका जवाब अकेले Nova ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    OpenSSL

    वेब की क्रिप्टोग्राफ़िक रीढ़, जो 67% HTTPS साइटों के TLS/SSL को संभालती है, पर बार-बार आने वाली मेमोरी-खराबी की खामियों से ग्रस्त।

  2. 2
    zlib

    gzip और deflate को चलाने वाली व्यापक कंप्रेशन लाइब्रेरी, जिसका दशकों पुराना buffer-overread और overflow खामियों का इतिहास है।

  3. 3
    nghttp2

    Cloudflare और Nginx द्वारा इस्तेमाल होने वाला HTTP/2 इम्प्लीमेंटेशन, जो स्ट्रीम मैनेजमेंट में heap-corruption खामियों से जूझता है।

  4. 4
    Brotli

    Google का उच्च-रेशियो कंप्रेसर, अब CVE-2026-111497 के लिए बदनाम, जो गलत बनाई स्ट्रीम के ज़रिए remote code execution देता है।

  5. 5
    libxml2

    PHP, Python और Ruby का XML पार्सर, जिसमें entity expansion और buffer संभालने में buffer-overflow की पुरानी समस्याएँ रही हैं।

    स्रोत ↗
🇨🇳 StepFun10 स्थान · 3 नोट

वही सवाल, जिसका जवाब अकेले StepFun ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (zstd, RFC 8878)

    एकमात्र शीर्ष-स्तरीय वेब codec, जिसके संदर्भ C डिकोडर में कभी मेमोरी-खराबी की CVE नहीं आई।

    स्रोत ↗
  2. 2
    Brotli (RFC 7932)

    लाइव वेब पर सबसे अच्छा रेशियो – और अक्टूबर 2026 में remote-code-execution वाली डिकोडर बग देने वाला अकेला codec।

  3. 3
    gzip / DEFLATE (zlib, RFC 1952)

    अब भी वेब के 60% JavaScript को कंप्रेस करता है, जबकि Brotli 29% – और उसके पीछे 30 साल पुराना inflate() है, जिसकी 19 CVE हैं।

  4. 4
    LZ4

    प्रति कोर GB/s रेंज में डीकंप्रेस होता है और इसका डिकोडर एक दोपहर में ऑडिट हो सके इतना छोटा है – बशर्ते आप रेशियो से समझौता कर सकें।

    स्रोत ↗
  5. 5
    Snappy

    250 MB/s इनपुट, 500 MB/s आउटपुट – और gzip से 20–100% खराब रेशियो, यही वजह है कि यह वेब में पिछड़ गया।

  6. 6
    Zopfli

    DEFLATE घनत्व के आखिरी 3–8% के लिए लगभग 100 गुना कंप्रेशन लागत चुकाता है – और डिकोडर की हमले की सतह में बिल्कुल कुछ नहीं जोड़ता।

    स्रोत ↗
  7. 7
    LZMA / xz (liblzma)

    सेट में सबसे अच्छा सामान्य-उद्देश्य रेशियो – और अकेला, जिसके संदर्भ tarballs में जानबूझकर backdoor घुसाया गया।

  8. 8
    bzip2

    2009 के दौर का फ़ॉर्मेट, जो अब भी Python की stdlib में है, और जिसका BZ2_decompress 2019 तक सीमा से बाहर लिखता रहा।

  9. 9
    zlib-ng

    zlib की ड्रॉप-इन जगह ले सकने वाला, जो मापने पर तेज़ है – और अपनी छोटी, पर असली CVE सूची लिए चलता है।

    स्रोत ↗
  10. 10
    LZO (liblzo2)

    2014 की एक दोपहर में चार CVE, सभी literal-run डिकोडर में integer overflow – “तेज़” codec की चेतावनी भरी कहानी।

StepFun ने क्या देखा

अपनाने का वक्र और दक्षता का वक्र उलटी दिशाओं में जाते हैं: 2023 से 2024 के बीच Brotli मोबाइल पेजों में 28% से बढ़कर 37% पर पहुँचा, फिर भी gzip 60% JavaScript रिस्पॉन्स को कंप्रेस करता है, जबकि Brotli 29% – ज़्यादातर वेब बेहतर codec पर गया ही नहीं।

स्रोत ↗

बुनियादी स्तर पर गति का अंतर मामूली नहीं है: zstd 510 MB/s पर कंप्रेस करता है, Brotli 290 और gzip 105; और डीकंप्रेस 1,550 MB/s पर, जबकि Brotli 425 पर – इसीलिए CDN डायनेमिक कंटेंट के लिए zstd और केवल पहले से कंप्रेस्ड स्थिर एसेट्स के लिए Brotli चुनने लगे हैं।

स्रोत ↗

Brotli की सबसे तीखी आलोचना यह नहीं कि वह बुरा कंप्रेस करता है, बल्कि यह कि उसका पूरा फ़ायदा “एक बदसूरत हैक” है – हार्डकोडेड डिक्शनरी – और यह दावा भी विवादित है, टिप्पणीकारों का कहना है कि डिक्शनरी शून्य करने पर भी Brotli वेब कंप्रेशन में जीतता है।

स्रोत ↗
🇨🇳 Kimi10 स्थान

वही सवाल, जिसका जवाब अकेले Kimi ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (zstd, RFC 8878)

    gzip से रेशियो में बेहतर (~10–15% छोटा), और Brotli से लगभग 2x तेज़ डिकोड करता है – इसके डिकोडर में मेमोरी-खराबी की शून्य CVE।

    स्रोत ↗
  2. 2
    Brotli (RFC 7932)

    वेब टेक्स्ट पर सबसे अच्छा रेशियो (gzip से 15–20% छोटा) – और इसी हफ़्ते से एक बिना प्रमाणीकरण वाला लाइव decoder RCE (CVE-2026-111497)।

  3. 3
    DEFLATE / zlib (gzip)

    हर क्लाइंट जिसे समझता है, वही आधार: 93.4% साइटें रिस्पॉन्स कंप्रेस करती हैं, और लगभग सारे बाइट 30 साल पुराने inflate() में जाकर खुलते हैं।

  4. 4
    Zopfli (गूगल)

    सिर्फ़ एन्कोडर वाला DEFLATE ऑप्टिमाइज़र: रेशियो की होड़ जीतता है और डिकोडर की नई हमले की सतह शून्य है, क्योंकि हर क्लाइंट उसका आउटपुट पहले से डीकोड करता है।

    स्रोत ↗
  5. 5
    LZ4

    सूची का सबसे तेज़ डिकोडर – और इसकी एक मशहूर मेमोरी बग (CVE-2021-3520) memmove() में एक integer overflow थी।

    स्रोत ↗
  6. 6
    Snappy (गूगल)

    LevelDB/मोंगोडीबी (MongoDB) का घरेलू codec: यहाँ का सबसे साफ़ C++ सुरक्षा रिकॉर्ड, पर बदले में सबसे कमज़ोर कंप्रेशन रेशियो।

  7. 7
    xz / LZMA (liblzma)

    Brotli के अलावा सबसे अच्छा रेशियो – पर इसका डिकोडर लगातार नई बग श्रेणियाँ खोजता है, और इसकी सबसे खराब CVE (10.0) गणित से नहीं, मेंटेनर से आई।

  8. 8
    bzip2 (Burrows-Wheeler)

    2019 का एक out-of-bounds write NVD पर 9.8 Critical और Red Hat पर 4.4 मिला – “खामी घनत्व” के एक स्कोरिंग फ़ैसला होने का सबसे साफ़ उदाहरण।

  9. 9
    LZW (Unix compress)

    सूची में अकेली एंट्री जिसे मेमोरी बग नहीं, बल्कि एक वकील ने हटाया: Unisys का पेटेंट (US 4,558,302) 20 जून 2003 को खत्म हुआ – तब तक वेब GIF से PNG पर जा चुका था।

    स्रोत ↗
  10. 10
    साझा Brotli (Compression Dictionary Transport)

    सीमांत: प्रति-साइट साझा डिक्शनरी बार-बार आने वाले विज़िटरों को Brotli से बेहतर रेशियो देती है, और वेब पर सबसे कम fuzz हुआ डिकोडर state machine।

    स्रोत ↗
🇨🇳 DeepSeek10 स्थान · 2 नोट

वही सवाल, जिसका जवाब अकेले DeepSeek ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (zstd) 2026

    1,550 MB/s पर डीकंप्रेस होता है और Brotli का रेशियो बराबर करता है – दुर्लभ मामला, जहाँ तेज़ डिकोडर सरल हमले की सतह भी है।

    स्रोत ↗
  2. 2
    Brotli 2026

    वेब-टेक्स्ट का सबसे अच्छा रेशियो (2.883) ने अपने संदर्भ C डिकोडर में CVSS 9.2 out-of-bounds write पैदा कर दिया – घटते लाभ के फ़ैसले का सबसे बड़ा उदाहरण।

    स्रोत ↗
  3. 3
    gzip / DEFLATE (zlib) 2026

    तीन दशकों से इंटरनेट का डिफ़ॉल्ट: 2.743x रेशियो और 390 MB/s डिकोड, पर 14–19 CVE इसे सबसे ज़्यादा ऐतिहासिक हमलों वाला वेब codec बनाती हैं।

  4. 4
    LZ4 2026

    कई GB/s डीकंप्रेशन इसे थ्रूपुट का राजा बनाता है, पर इसका ~2.1x रेशियो zstd से लगभग 25% ज़्यादा बाइट लेता है – और इसके C डिकोडर की CVE सूची कहीं छोटी है।

    स्रोत ↗
  5. 5
    XZ / LZMA2 2026

    सूची में सबसे ऊँचा रेशियो (3.43x), पर 35 MB/s पर डीकंप्रेस होता है और CVSS 10.0 की supply-chain backdoor से गुज़रा – अधिकतम कंप्रेशन, अधिकतम जोखिम।

  6. 6
    bzip2 2026

    Block-sorting कंप्रेशन टेक्स्ट पर अच्छा रेशियो देता है, पर धीमा डीकंप्रेस होता है और integer-overflow तथा out-of-bounds CVE की लंबी सूची है।

  7. 7
    Snappy 2026

    Google का LZ77 वैरिएंट रेशियो से ज़्यादा गति को प्राथमिकता देता है; मुख्य C++ लाइब्रेरी हल्की है, पर Java bindings में हाल ही में CVSS 7.5+ heap overflow आए।

    स्रोत ↗
  8. 8
    LZO 2026

    रियल-टाइम डीकंप्रेशन के लिए बना, LZO 217 MB/s और 2.64x रेशियो देता है, पर वेब पर लगभग कोई CVE इतिहास नहीं – कम हमले की सतह वाला काम का घोड़ा।

  9. 9
    DEFLATE (raw) 2026

    कच्चा RFC 1951 स्ट्रीम सबसे सरल संभव वेब codec है, पर gzip के CRC रैपर के बिना भी यह zlib की 19-CVE inflate विरासत ढोता है।

    स्रोत ↗
  10. 10
    LZMA (alone) 2026

    LZMA SDK xz जैसा रेशियो देता है, बिना .xz कंटेनर के, पर इसका डिकोडर इस सूची में सबसे धीमा है और xz की जटिल state-machine हमले की सतह साझा करता है।

DeepSeek ने क्या देखा

Brotli की जटिलता वेब टेक्स्ट पर gzip से लगभग 5% बेहतर रेशियो देती है, पर उसके डिकोडर ने CVE-2026-111497 पैदा कर दिया – CVSS 9.2 का out-of-bounds write, जो अपने-आप होने वाले HTTP डीकंप्रेशन से पहुँचता है। अब मामूली लाभ को हमले की सतह में मापा जाता है।

स्रोत ↗

LZ4 का डीकंप्रेसर xz से कई गुना तेज़ है (SquashFS बेंचमार्क में 218 MB/s बनाम xz के 35 MB/s), पर इसकी कीमत 2.12x बनाम 3.43x रेशियो है – यानी 62% बड़ा payload। सबसे तेज़ codec सबसे बैंडविड्थ-कुशल नहीं होता।

स्रोत ↗
🇨🇳 Wenxin10 स्थान · 1 नोट

वही सवाल, जिसका जवाब अकेले Wenxin ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    Zstandard (zstd)

    समान तेज़ सेटिंग्स पर zlib से 5 गुना तेज़ कंप्रेशन और 4 गुना तेज़ डीकंप्रेशन, थोड़े बेहतर रेशियो के साथ, और बिना अंतर्निर्मित स्थिर डिक्शनरी, जो हमले की सतह नहीं बढ़ाती।

    स्रोत ↗
  2. 2
    Gzip

    सार्वभौमिक वेब बैकअप, जिसकी दशकों की सार्वजनिक फ़ज़ टेस्टिंग लगभग सभी साधारण मेमोरी-खराबी खामियों को कवर करती है।

    स्रोत ↗
  3. 3
    Brotli

    120 KB की अंतर्निर्मित स्थिर डिक्शनरी मज़बूत टेक्स्ट कंप्रेशन देती है, पर अब 2026 की एक गंभीर out-of-bounds write खामी का सार्वजनिक PoC भी साथ लाती है।

    स्रोत ↗
  4. 4
    Deflate

    कच्ची DEFLATE विशिष्टता, जिस पर gzip चलता है; कोई अतिरिक्त HTTP रैपर लॉजिक नहीं, इसलिए पार्सिंग की नई हमले की सतह नहीं जुड़ती।

    स्रोत ↗
  5. 5
    LZ4

    निकट-मेमोरी लाइन डीकंप्रेशन के लिए अनुकूलित, कम-विलंब कामों के लिए अधिकतम कंप्रेशन रेशियो से ज़्यादा गति को प्राथमिकता देता है।

    स्रोत ↗
  6. 6
    Snappy

    Google द्वारा विकसित कम-जटिलता वाला एल्गोरिदम, जो डिकोडर-पक्ष की उस जटिलता से बचता है जो मेमोरी-सुरक्षा खामियों की ओर ले जाती है।

    स्रोत ↗
  7. 7
    LZF

    2000 लाइनों से कम का न्यूनतम C इम्प्लीमेंटेशन, HTTP उपयोग के लिए न्यूनतम संरचनात्मक पार्सिंग जटिलता।

  8. 8
    LZMA

    अधिकतम कंप्रेशन रेशियो बहुत ऊँचा है, पर इसकी कीमत घातीय डीकंप्रेशन जटिलता और बहुत कम थ्रूपुट है।

  9. 9
    bzip2

    Burrows-Wheeler transform पर आधारित एल्गोरिदम, जो धीमी गति और सक्रिय सुरक्षा रखरखाव न होने के कारण आधुनिक वेब पर शायद ही इस्तेमाल होता है।

  10. 10
    DEFLATE64

    बड़े window size वाला विस्तारित DEFLATE वैरिएंट, जो अतिरिक्त state logic जोड़ता है और मानक HTTP वेब समर्थन नहीं रखता।

    स्रोत ↗

Wenxin ने क्या देखा

समान तेज़ सेटिंग्स पर Zstandard, zlib से लगभग 4 गुना तेज़ डीकंप्रेस करता है और रेशियो थोड़ा बेहतर है – यह 2026 का एक बेंचमार्क पुष्टि करता है।

स्रोत ↗
🇨🇳 Qwen10 स्थान · 2 नोट

वही सवाल, जिसका जवाब अकेले Qwen ने दिया। ऊपर की अंतिम सूची सभी AI को मिलाती है।

  1. 1
    LZ4

    RAM की गति पर डीकंप्रेस होता है, और इसका state machine इतना सरल है कि वह vulnerability scanners में लगभग दर्ज नहीं होता।

  2. 2
    Zstandard (Zstd)

    Facebook (फ़ेसबुक) का इंजीनियरिंग चमत्कार, जो LZ4 के करीब डीकंप्रेशन गति को gzip से बेहतर रेशियो के साथ संतुलित करता है।

    स्रोत ↗
  3. 3
    Snappy

    Google का गति-प्राथमिक कंप्रेसर डीकंप्रेशन थ्रूपुट के लिए रेशियो कुर्बान करता है, और पार्सर लॉजिक बेहद न्यूनतम रखता है।

  4. 4
    Brotli

    स्थिर एसेट्स का वेब का भारी-भरकम इंजन, जब तक कि जटिल डिक्शनरी पार्सर अक्टूबर 2026 की PHP2Shell और HTTP2Shell RCE खामियों को ट्रिगर नहीं करता।

  5. 5
    Deflate (zlib)

    HTTP की 30 साल पुरानी रीढ़, जो integer wraparounds की बड़ी, अच्छी तरह दस्तावेज़ित सूची के बदले सार्वभौमिक संगतता देती है।

    स्रोत ↗
  6. 6
    Gzip

    Deflate के चारों ओर बस 10-बाइट का हेडर, जो अपने अंतर्निहित इंजन की हर ऐतिहासिक मेमोरी-खराबी खामी विरासत में लेता है।

    स्रोत ↗
  7. 7
    LZMA / XZ

    विशाल डिक्शनरी state machines बनाकर अद्भुत रेशियो हासिल करता है, जिन्होंने 2024 में supply-chain backdoor को न्योता दिया था।

    स्रोत ↗
  8. 8
    bzip2

    Burrows-Wheeler transform गणितीय रूप से सुंदर है, पर कम्प्यूटेशनल रूप से भारी है और आधुनिक वेब मानकों ने इसे लगभग छोड़ दिया है।

    स्रोत ↗
  9. 9
    LZFSE

    Apple (एप्पल) का मालिकाना ऊर्जा-कुशल codec मोबाइल बैटरी की अच्छी उम्र देता है, पर मानक खुले वेब के बाहर अपारदर्शी state logic लाता है।

    स्रोत ↗
  10. 10
    Zopfli

    सिर्फ़ एन्कोडर वाली जिज्ञासा, जो एक फ़ाइल को मानक Deflate डेटा में बदलने में घंटों लेती है, और डीकंप्रेशन सुरक्षा का कोई लाभ नहीं देती।

    स्रोत ↗

Qwen ने क्या देखा

Zstd और LZ4 दिखाते हैं कि उत्कृष्ट वेब प्रदर्शन के लिए घातीय पार्सिंग जटिलता की ज़रूरत नहीं; सरल बाइट-आधारित LZ77 derivatives कम मेमोरी हमले की सतह के साथ उच्च थ्रूपुट बनाए रखते हैं।

स्रोत ↗

घटता लाभ असली है: XZ और LZMA बेहतर रेशियो देते हैं, पर उन्हें इतनी विशाल डिक्शनरी state machines चाहिए कि वे supply-chain हमलों और मेमोरी खराबी के मुख्य निशाने बन जाते हैं।

स्रोत ↗