curl 8.21.0

Június 24-én, közel két hónap fejlesztés után, 531 elkövetés és 276 hiba javítása után megjelent a 8.21.0 (275. szám) platformfüggetlen, többfunkciós parancssori segédprogram és könyvtár. curl, amely C nyelven készült és licenc alatt terjesztik. curl.

Főbb változások

Biztonság

• Közepes súlyossági szint
  • CVE-2026-8925: dupla memóriafelszabadítás SASL esetén;
  • CVE-2026-8927: autentikációs állapot szivárgás a Digest között a proxyk között env-set;
  • CVE-2026-9079: elavult jelszavak szivárgása a proxykhoz;
  • CVE-2026-11856: autentikációs állapot szivárgás a Digest között a domainek között.
• Alacsony súlyossági szint
  • CVE-2026-8286: helytelen STARTTLS kapcsolat újrahasználás;
  • CVE-2026-8458: helytelen újrahasználás különböző szolgáltatásokhoz;
  • CVE-2026-8924: sérülékenység a cookie fájlok végén található ponttal kapcsolatos elemzési algoritmusban, amely lehetővé tette a rosszindulatú HTTP-szerverek számára, hogy "szuper-cookie"-kat állítsanak be, megkerülve a Public Suffix List ellenőrzést;
  • CVE-2026-8926: jelszó szivárgás a netrc használata és a felhasználónév URL-ben való megadása esetén;
  • CVE-2026-8932: az mTLS konfiguráció hiányos egyezése újrahasználat esetén;
  • CVE-2026-9080: memóriahasználat felszabadítás után a socket callback szünetében;
  • CVE-2026-9545: korai HTTP/3 adatok kiszivárgása (CURLSSLOPT_EARLYDATA opcióval);
  • CVE-2026-9546: régi referer küldése;
  • CVE-2026-9547: helytelen host ellenőrzés SSH használata esetén;
  • CVE-2026-10536: memóriahasználat a HTTP/2 szálak függőségi fájának felszabadítása után;
  • CVE-2026-11352: várakozási ciklus QUIC-ben üres hosszúságú UDP datagramokkal;
  • CVE-2026-11564: bizalom megőrzése a natív tanúsítványtárolóra a felhasználói tanúsítványokra való váltás után is;
  • CVE-2026-11586: WS Auto-PONG memória kimerülés;
  • CVE-2026-12064: proto-default kihagyta az SSH ellenőrzést.

Egyéb változások

• fejlesztések a névleges keresési sablonokban.Példák:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{