🥇curl 8.21.0 | ProHoster

На 24 юни, след почти два месеца разработка, 531 коммит и коригиране на 276 грешки, беше издадена версия 8.21.0 (№275) на кросплатформената многофункционална конзолна утилита и библиотека curl, написани на езика C и разпространявани под лиценз curl.

Основни промени

Сигурност

Средно ниво на сериозност
- CVE-2026-8925: двойно освобождаване на паметта в SASL;
- CVE-2026-8927: изтичане на автентикационното състояние Digest между прокси-сървъри в env-set;
- CVE-2026-9079: изтичане на остарели пароли за прокси-сървъри;
- CVE-2026-11856: изтичане на автентикационното състояние Digest между домейните.
Ниско ниво на сериозност
- CVE-2026-8286: неправилно повторно използване на връзката STARTTLS;
- CVE-2026-8458: неправилно повторно използване за различни услуги;
- CVE-2026-8924: уязвимост в алгоритъма за анализ на файловете с бисквитки, ако домейнът завършва с точка, позволяваща на злонамерен HTTP-сървър да поставя „супер-бисквитки“, които заобикалят проверката на Public Suffix List;
- CVE-2026-8926: изтичане на парола при използване на netrc и задаване на потребителско име в URL-адреса;
- CVE-2026-8932: непълно съвпадение на конфигурацията на mTLS при повторно използване на връзката;
- CVE-2026-9080: използване на памет след освобождаване след пауза в колбек на сокета;
- CVE-2026-9545: разкриване на ранни данни HTTP/3 (с опцията CURLSSLOPT_EARLYDATA);
- CVE-2026-9546: изпращане на стар реферер;
- CVE-2026-9547: неправилна проверка на хоста при използване на SSH;
- CVE-2026-10536: използване на памет след освобождаване на дървото на зависимостите на HTTP/2;
- CVE-2026-11352: цикъл на изчакване в QUIC с UDP датаграми с нулева дължина;
- CVE-2026-11564: запазване на доверието на местното хранилище за сертификати дори след превключване на потребителски сертификати;
- CVE-2026-11586: изчерпване на паметта WS Auto-PONG;
- CVE-2026-12064: proto-default пропуска проверката на SSH.