curl 8.21.0

24. června, po téměř dvou měsících vývoje, 531 commitech a opravě 276 chyb, došlo k vydání 8.21.0 (č. 275) křížově platformní multifunkční konzolové utility a knihovny curl, napsaná v jazyce C a distribuovaná pod licencí curl.

Hlavní změny

Bezpečnost

• Střední úroveň závažnosti
  • CVE-2026-8925: dvojité uvolnění paměti SASL;
  • CVE-2026-8927: únik stavu autentizace Digest mezi proxy servery v env-set;
  • CVE-2026-9079: únik zastaralých hesel k proxy serverům;
  • CVE-2026-11856: únik stavu autentizace Digest mezi doménami.
• Nízká úroveň závažnosti
  • CVE-2026-8286: nesprávné opětovné používání spojení STARTTLS;
  • CVE-2026-8458: nesprávné opětovné používání pro různé služby;
  • CVE-2026-8924: zranitelnost v algoritmu analýzy cookies s tečkou na konci domény, která umožňovala škodlivému HTTP serveru nastavovat "super-cookie", které obcházely kontrolu podle seznamu Public Suffix List;
  • CVE-2026-8926: únik hesla při používání netrc a určení uživatelského jména v URL adrese;
  • CVE-2026-8932: neúplné shodování konfigurace mTLS při opětovném používání spojení;
  • CVE-2026-9080: používání paměti po uvolnění po pauze ve callbacku socketu;
  • CVE-2026-9545: odhalení raných údajů HTTP/3 (s možností CURLSSLOPT_EARLYDATA);
  • CVE-2026-9546: odeslání starého referera;
  • CVE-2026-9547: nesprávná kontrola hostitele při použití SSH;
  • CVE-2026-10536: používání paměti po uvolnění stromu závislostí HTTP/2;
  • CVE-2026-11352: čekací cyklus v QUIC s nulově dlouhými UDP datagramy;
  • CVE-2026-11564: zachování důvěry nativnímu úložišti certifikátů i po přepnutí na uživatelské certifikáty;
  • CVE-2026-11586: vyčerpání paměti WS Auto-PONG;
  • CVE-2026-12064: proto-default přeskočil kontrolu SSH.

Další změny

• vylepšení v pojmenovaných šablonách vyhledávání. Příklady:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{