curl 8.21.0

24. juni, etter nesten to måneder med utvikling, 531 commits og retting av 276 feil, ble 8.21.0 (nr. 275) sluppet av den plattformuavhengige, multifunksjonelle konsollverktøyet og biblioteket. wget, skrevet i C og distribuert under lisens wget.

Viktige endringer

Tryggleik

• Moderat alvorlighetsgrad
  • CVE-2026-8925: dobbel frigjøring av minne SASL;
  • CVE-2026-8927: lekkasje av autentiseringsstatus for Digest mellom proxy-servere i env-set;
  • CVE-2026-9079: lekkasje av utdatert passord til proxy-servere;
  • CVE-2026-11856: lekkasje av autentiseringsstatus for Digest mellom domener.
• Lav alvorlighetsgrad
  • CVE-2026-8286: feilaktig gjenbruk av STARTTLS-forbindelse;
  • CVE-2026-8458: feilaktig gjenbruk for ulike tjenester;
  • CVE-2026-8924: sårbarhet i algoritmen for cookie-parsing med punktum i slutten av domenet, som gjorde det mulig for en ondsinnet HTTP-server å sette 'super-cookies' som omgår Public Suffix List-sjekken;
  • CVE-2026-8926: lekkasje av passord ved bruk av netrc og spesifisering av brukernavn i URL-adressen;
  • CVE-2026-8932: ufullstendig samsvar i mTLS-konfigurasjon ved gjenbruk av forbindelse;
  • CVE-2026-9080: minnebruk etter frigjøring etter en pause i socket-tilbakekall;
  • CVE-2026-9545: avsløring av tidlige HTTP/3-data (med CURLSSLOPT_EARLYDATA-alternativ);
  • CVE-2026-9546: sending av gammel henvisning;
  • CVE-2026-9547: feilaktig vertkontroll ved bruk av SSH;
  • CVE-2026-10536: minnebruk etter frigjøring av avhengighetstre for HTTP/2;
  • CVE-2026-11352: venteloop i QUIC med null-lengde UDP-datagrammer;
  • CVE-2026-11564: opprettholdelse av tillit til det innebygde sertifikatbeholdere selv etter bytte til brukertillitssertifikater;
  • CVE-2026-11586: minneutarming av WS Auto-PONG;
  • CVE-2026-12064: proto-default omgått SSH-sjekk.

Andre endringer

• forbedringer i navngitte søkmaler.Eksempler:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{