curl 8.21.0

Dňa 24. júna, po takmer dvoch mesiacoch vývoja, 531 commitoch a oprave 276 chýb, bol vydaný 8.21.0 (č. 275) multiplatformový multifunkčný konzolový nástroj a knižnica curl, napísaného v jazyku C a šíreného pod licenciou curl.

Hlavné zmeny

Bezpečnosť

• Stredná úroveň závažnosti
  • CVE-2026-8925: dvojité uvoľnenie pamäte SASL;
  • CVE-2026-8927: únik stavu autentifikácie Digest medzi proxy servermi v nastavení prostredia;
  • CVE-2026-9079: únik zastaraných hesiel k proxy serverom;
  • CVE-2026-11856: únik stavu autentifikácie Digest medzi doménami.
• Nízka úroveň závažnosti
  • CVE-2026-8286: nesprávne opakované použitie spojenia STARTTLS;
  • CVE-2026-8458: nesprávne opakované použitie pre rôzne služby;
  • CVE-2026-8924: zraniteľnosť v algoritme analýzy súborov cookie s bodkou na konci domény, ktorá umožnila zlomyseľnému HTTP serveru nastaviť "super-cookie", obchádzajúce overenie podľa zoznamu Public Suffix List;
  • CVE-2026-8926: únik hesla pri použití netrc a uvedení používateľského mena v URL adrese;
  • CVE-2026-8932: neúplné zhodnotenie konfigurácie mTLS pri opätovnom použití spojenia;
  • CVE-2026-9080: používanie pamäte po uvoľnení po prestávke v callbacku socketu;
  • CVE-2026-9545: odhalenie skorých údajov HTTP/3 (s možnosťou CURLSSLOPT_EARLYDATA);
  • CVE-2026-9546: odoslanie starého referenta;
  • CVE-2026-9547: nesprávna kontrola hostiteľa pri použití SSH;
  • CVE-2026-10536: používanie pamäte po uvoľnení stromu závislostí HTTP/2;
  • CVE-2026-11352: slučka čakajúca v QUIC s UDP paketmi nulovej dĺžky;
  • CVE-2026-11564: zachovanie dôvery v natívnu úložisko certifikátov aj po prepnutí na používateľské certifikáty;
  • CVE-2026-11586: vyčerpanie pamäte WS Auto-PONG;
  • CVE-2026-12064: proto-default preskočil kontrolu SSH.

Ďalšie zmeny

• vylepšenia v pomenujú šablóny vyhľadávania. Príklady:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{