У конфігураційних файлах curl випадково реалізовано повноту за Тюрінгом Ця особливість проявляється лише у версіях Curl з 8.12 по 8.16 і зумовлена ненавмисною реалізацією повноти за Тьюрингом, що дозволяє створювати машини Тьюринга, використовуючи можливість вилучати байтові діапазони зі значень змінних та необмежену глибину вкладеності під час підключення зовнішніх конфігураційних файлів. Як приклад, за допомогою Curl було реалізовано симуляцію роботи дволічильникової регістрової машини (машини Мінського) для додавання чисел та реалізації програми "99 пляшок пива", яка використовується під час навчання роботі з циклами. На практиці обчислювальні можливості, що реалізуються через файли конфігурації, обмежені розміром стека, оскільки кожен крок виконання програми вимагає завантаження нового вкладеного файлу конфігурації. При стеку в 8 МБ переповнення виникає приблизно після 922 кроків. На можливості також впливає обмеження на розмір розгортаних змінних (параметр MAX_EXPAND_CONTENT встановлено на 10 МБ) та велике споживання пам’яті через збереження всіх старих версій змінних.

Виявлено вразливість у серверних прошивках UEFI, яку можна експлуатувати шляхом надсилання ICMP-пакета Уразливість присутня у драйвері PXE і може бути використана шляхом надсилання спеціально сформованих ICMP-пакетів під час мережевого завантаження в мережах IPv4 або IPv6. Ця атака не вимагає автентифікації та дозволяє зловмиснику виконати власний код із привілеями прошивки UEFI на етапі до передачі управління операційній системі, що може бути використано для обходу механізму верифікованого завантаження UEFI Secure Boot та підстановки шкідливих компонентів на етапі завантаження. Проблема пов’язана з переповненням буфера в обробнику ICMP-повідомлень у драйвері UefiPxeBcDxe, який використовується для PXE-завантаження та приймає ICMP-пакети під час завантаження через мережу для фіксації мережевих помилок. Атаку можна здійснити з глобальної мережі — достатньо знати IP-адресу жертви та визначити момент PXE-завантаження. Знаючи, яка саме прошивка використовується на сервері жертви, зловмисник може підготувати експлойт з урахуванням розміщення структур у пам’яті конкретної збірки прошивки та експлуатувати вразливість для виконання коду на рівні DXE (Driver Execution Environment), що виконується в нульовому кільці захисту.