curl 8.21.0

24. lipnja, nakon gotovo dva mjeseca razvoja, 531 promjene i 276 ispravljenih grešaka, objavljen je 8.21.0 (br. 275) višenamjenski alat i biblioteka za konzolu. curl, napisano na jeziku C i distribuirano pod licencom curl.

Glavne promjene

Sigurnost

• Srednja razina ozbiljnosti
  • CVE-2026-8925: dvostruko oslobađanje memorije SASL;
  • CVE-2026-8927: curenje stanja autentikacije Digest između posredničkih poslužitelja u env-set;
  • CVE-2026-9079: curenje zastarjelih lozinki za posredničke poslužitelje;
  • CVE-2026-11856: curenje stanja autentikacije Digest između domena.
• Niska razina ozbiljnosti
  • CVE-2026-8286: netočno ponovno korištenje veze STARTTLS;
  • CVE-2026-8458: netočno ponovo korištenje za različite usluge;
  • CVE-2026-8924: ranjivost u algoritmu analize kolačića s točkom na kraju domene koja je omogućila zlonamjernom HTTP poslužitelju da postavi "super-kolačiće" koji su prolazili provjeru prema popisu javnog sufiksa;
  • CVE-2026-8926: curenje lozinke prilikom korištenja netrc-a i navođenja korisničkog imena u URL-u;
  • CVE-2026-8932: nepotpuno podudaranje mTLS konfiguracije prilikom ponovnog korištenja veze;
  • CVE-2026-9080: korištenje memorije nakon oslobađanja nakon pauze u povratnom pozivu soketa;
  • CVE-2026-9545: otkrivanje ranih podataka HTTP/3 (s CURLSSLOPT_EARLYDATA opcijom);
  • CVE-2026-9546: slanje stare referentne stranice;
  • CVE-2026-9547: netočna provjera hosta prilikom korištenja SSH;
  • CVE-2026-10536: korištenje memorije nakon oslobađanja stabla ovisnosti HTTP/2;
  • CVE-2026-11352: čekanje u petlji u QUIC s UDP datumima nulte duljine;
  • CVE-2026-11564: zadržavanje povjerenja za prirodnu pohranu certifikata čak i nakon prebacivanja na korisničke certifikate;
  • CVE-2026-11586: iscrpljenje memorije WS Auto-PONG;
  • CVE-2026-12064: proto-default preskočio provjeru SSH.

Ostale promjene

• poboljšanja u imenovanim predlošcima pretraživanja. Primjeri:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{