zvlnenie 8.21.0

24. júna, po takmer dvoch mesiacoch vývoja, 531 commitoch a 276 opravách chýb, bola vydaná multiplatformová, multifunkčná konzolová utilita a knižnica 8.21.0 (#275). curlnapísané v jazyku C a distribuované na základe licencie curl.

Hlavné zmeny

zabezpečenia

• Stredný stupeň závažnosti
  • CVE-2026 8925,SASL dvojité voľné;
  • CVE-2026 8927,Únik stavu overovania Digest medzi proxy v sade env;
  • CVE-2026 9079,únik zastaraných hesiel na proxy servery;
  • CVE-2026 11856,Únik stavu overovania medzi doménami pomocou funkcie Digest.
• Nízka úroveň závažnosti
  • CVE-2026 8286,nesprávne opätovné použitie pripojenia STARTTLS;
  • CVE-2026 8458,nesprávne opätovné použitie pre rôzne služby;
  • CVE-2026 8924,Zraniteľnosť v algoritme parsovania súborov cookie s bodkou na konci domény umožnila škodlivému HTTP serveru nainštalovať „super-súbory cookie“, ktoré obchádzali kontrolu zoznamu verejných prípon;
  • CVE-2026 8926,Únik hesla pri použití netrc a zadaní používateľského mena v URL adrese;
  • CVE-2026 8932,neúplná zhoda konfigurácie mTLS pri opätovnom použití pripojenia;
  • CVE-2026 9080,: využitie pamäte po uvoľnení po pauze v spätnom volaní soketu;
  • CVE-2026 9545,: Včasné zverejnenie údajov HTTP/3 (s možnosťou CURLSSLOPT_EARLYDATA);
  • CVE-2026 9546,odosielanie starého referera;
  • CVE-2026 9547,Nesprávna kontrola hostiteľa pri použití SSH;
  • CVE-2026 10536,využitie pamäte po uvoľnení stromu závislostí HTTP/2 streamu;
  • CVE-2026 11352,Čakacia slučka QUIC s UDP datagramami nulovej dĺžky;
  • CVE-2026 11564,zachovanie dôveryhodnosti v natívnom úložisku certifikátov aj po prechode na vlastné certifikáty;
  • CVE-2026 11586,Vyčerpanie pamäte WS Auto-PONG;
  • CVE-2026 12064,: proto-default preskakoval kontrolu SSH.

Ďalšie zmeny

• zlepšenia v pomenované vyhľadávacie vzory... Príklady:

zvlnenie "https://obrázok.príklad/foto[ 1-1000].jpg" -o "lokálne-# .jpeg"
curl "https://example.{ org,com}/{ jablká, hrnčeky, mince}/obrázok[ 1-1000].jpg" -o "súbor # -# -# "
curl -T "{ jeden, dva, tri}.jpg" https://ul.example/ -o "uložiť-# "
curl -T "{ jeden, dva, tri}.jpg" https://{ ul1, ul2, ul3}.example/ -o "uložiť-# -# "

• Pridaná podpora pre metódy proxy CONNECT a MASQUE CONNECT-UDP HTTP/3;
• Sledovanie závislostí streamu HTTP/2 bolo odstránené;
• Odstránená podpora pre CURLAUTH_DIGEST_IE;
• Pridaná podpora pre verejné kľúče hostiteľa SHA256 pomocou libssh.

Nadchádzajúce vymazania

• lokálne implementácie kryptografických algoritmov;
• Podpora pre NTLM, SMB a TLS-SRP.

Zdroj: linux.org.ru