curl 8.21.0

Den 24. juni, efter næsten to måneders udvikling, 531 commits og rettelse af 276 fejl, blev version 8.21.0 (nr. 275) af den tværplatforme multifunktionelle kommandolinjeværktøj og bibliotek frigivet. curl, skrevet i C og distribueret under licens curl.

Vigtige ændringer

Sikkerhed

• Middel alvorlighedsgrad
  • CVE-2026-8925: dobbelt frigivelse af hukommelse SASL;
  • CVE-2026-8927: læk af autentificeringsstatus Digest mellem proxy-servere i env-set;
  • CVE-2026-9079: læk af forældede adgangskoder til proxy-servere;
  • CVE-2026-11856: læk af autentificeringsstatus Digest mellem domæner.
• Lav alvorlighedsgrad
  • CVE-2026-8286: forkert genbrug af STARTTLS-forbindelse;
  • CVE-2026-8458: forkert genbrug til forskellige tjenester;
  • CVE-2026-8924: sårbarhed i cookie-analysealgoritmen med punktum i slutningen af domænenavnet, som tillod ondsindede HTTP-servere at sætte 'super-cookies', der omgåede kontrol af Public Suffix List;
  • CVE-2026-8926: læk af adgangskode ved brug af netrc og angivelse af brugernavn i URL-adressen;
  • CVE-2026-8932: ufuldstændig overensstemmelse af mTLS-konfiguration ved genbrug af forbindelse;
  • CVE-2026-9080: brug af hukommelse efter frigivelse efter pause i socket callback;
  • CVE-2026-9545: afsløring af tidlige HTTP/3-data (med CURLSSLOPT_EARLYDATA mulighed);
  • CVE-2026-9546: sending af gammel referer;
  • CVE-2026-9547: forkert hostkontrol ved brug af SSH;
  • CVE-2026-10536: brug af hukommelse efter frigivelse af afhængigheds-træet HTTP/2;
  • CVE-2026-11352: ventecyklus i QUIC med nullængde UDP datagrammer;
  • CVE-2026-11564: bevaring af tillid til det indfødte certifikatlager, selv efter skift til brugerdefinerede certifikater;
  • CVE-2026-11586: WS Auto-PONG hukommelsesudtømning;
  • CVE-2026-12064: proto-default sprang over SSH-kontrol.

Andre ændringer

• forbedringer i navngivne søgeskabeloner.Eksempler:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{