curl 8.21.0

24. jūnijā, pēc gandrīz diviem mēnešiem izstrādes, 531 komita un 276 kļūdu labojumiem, tika izlaista 8.21.0 (Nr.275) multiplatformu daudzfunkcionālā konsoles rīka un bibliotēkas versija curl, kas uzrakstīta C valodā un izplatīta ar licenci curl.

Galvenās izmaiņas

Drošība

• Vidēja nopietnība
  • CVE-2026-8925: divkārša atmiņas atbrīvošana SASL;
  • CVE-2026-8927: autentifikācijas stāvokļa noplūde Digest starp starpniekserveriem env-set;
  • CVE-2026-9079: novecojušu paroles noplūde starp starpniekserveriem;
  • CVE-2026-11856: autentifikācijas stāvokļa noplūde Digest starp domēniem.
• Zema nopietnība
  • CVE-2026-8286: nepareiza STARTTLS savienojuma atkārtota izmantošana;
  • CVE-2026-8458: nepareiza atkārtota izmantošana dažādiem pakalpojumiem;
  • CVE-2026-8924: ievulnerability cookie failu analīzes algoritmā ar punktu domēna beigās, kas ļāva ļaunprātīgam HTTP serverim iestatīt "super-cookie", apietot Public Suffix List pārbaudi;
  • CVE-2026-8926: paroles noplūde, izmantojot netrc un norādot lietotājvārdu URL adresē;
  • CVE-2026-8932: nepilnīga mTLS konfigurācijas atbilstība atkārtotā savienojumā;
  • CVE-2026-9080: atmiņas izmantošana pēc atbrīvošanas pēc pieslēgšanās apstāšanās soketa atgriezeniskā saiknē;
  • CVE-2026-9545: agrīnu HTTP/3 datu atklāšana (ar CURLSSLOPT_EARLYDATA opciju);
  • CVE-2026-9546: vecā referenta nosūtīšana;
  • CVE-2026-9547: nepareiza resursa pārbaude, izmantojot SSH;
  • CVE-2026-10536: atmiņas izmantošana pēc atbrīvošanas HTTP/2 plūsmu atkarības koku;
  • CVE-2026-11352: gaidīšanas cikls QUIC ar nulles garuma UDP datagrammām;
  • CVE-2026-11564: uzticības saglabāšana vietējā sertifikātu krātuvē pat pēc pāriešanas uz lietotāju sertifikātiem;
  • CVE-2026-11586: atmiņas izsīkšana WS Auto-PONG;
  • CVE-2026-12064: proto-default izslēdza SSH pārbaudi.

Citi uzlabojumi

• uzlabojumi nosaukto meklēšanas šablonu. Piemēri:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{