curl 8.21.0

24 de junho, após quase dois meses de desenvolvimento, 531 commits e a correção de 276 erros, foi lançado o 8.21.0 (nº 275), uma utilidade e biblioteca de console multiplataforma multifuncional. curl, escritos na linguagem C e distribuídos sob licença curl.

Principais mudanças

Segurança

• Nível médio de gravidade
  • CVE-2026-8925: dupla liberação de memória SASL;
  • CVE-2026-8927: vazamento de estado de autenticação Digest entre servidores proxy em env-set;
  • CVE-2026-9079: vazamento de senhas obsoletas para servidores proxy;
  • CVE-2026-11856: vazamento de estado de autenticação Digest entre domínios.
• Nível baixo de gravidade
  • CVE-2026-8286: reuso incorreto de conexão STARTTLS;
  • CVE-2026-8458: reuso incorreto para diferentes serviços;
  • CVE-2026-8924: vulnerabilidade no algoritmo de análise de cookies com ponto no final do domínio, permitindo que um servidor HTTP malicioso configurasse "super-cookies", contornando a verificação da Public Suffix List;
  • CVE-2026-8926: vazamento de senha ao usar netrc e especificar o nome de usuário na URL;
  • CVE-2026-8932: correspondência incompleta da configuração mTLS ao reutilizar a conexão;
  • CVE-2026-9080: uso de memória após liberação após pausa no callback do socket;
  • CVE-2026-9545: exposição de dados precoce HTTP/3 (com a opção CURLSSLOPT_EARLYDATA);
  • CVE-2026-9546: envio de um referer antigo;
  • CVE-2026-9547: verificação incorreta de host ao usar SSH;
  • CVE-2026-10536: uso de memória após liberação da árvore de dependências do HTTP/2;
  • CVE-2026-11352: ciclo de espera no QUIC com datagramas UDP de zero comprimento;
  • CVE-2026-11564: preservação da confiança na loja nativa de certificados mesmo após a troca para certificados personalizados;
  • CVE-2026-11586: exaustão de memória WS Auto-PONG;
  • CVE-2026-12064: proto-default ignorava verificação SSH.

Outras alterações

• melhorias em modelos de busca nomeados.Exemplos:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{