curl 8.21.0

Den 24 juni, efter nästan två månaders utveckling, 531 commits och 276 buggar fixade, släpptes version 8.21.0 (nr 275) av det plattformsoberoende multifunktionella kommandoradsverktyget och biblioteket curl, skrivna i C och distribuerade under licens curl.

Viktiga ändringar

Säkerhet

• Mediansk allvarlighetsgrad
  • CVE-2026-8925: dubbelt minnesfrisättning SASL;
  • CVE-2026-8927: läcka av autentiseringstillstånd Digest mellan proxyservrar i env-set;
  • CVE-2026-9079: läcka av föråldrade lösenord till proxyservrar;
  • CVE-2026-11856: läcka av autentiseringstillstånd Digest mellan domäner.
• Låg allvarlighetsgrad
  • CVE-2026-8286: felaktig återanvändning av STARTTLS-anslutning;
  • CVE-2026-8458: felaktig återanvändning för olika tjänster;
  • CVE-2026-8924: sårbarhet i cookie-analysalgoritmen med punkt i domännamnet, vilket gjorde att en skadlig HTTP-server kunde installera "super-cookies" som kringgick kontrollen mot Public Suffix List;
  • CVE-2026-8926: läcka av lösenord vid användning av netrc och angivande av användarnamn i URL-adressen;
  • CVE-2026-8932: ofullständig matchning av mTLS-konfiguration vid återanvändning av anslutning;
  • CVE-2026-9080: användning av minne efter att det har frigjorts efter en paus i socket-callback;
  • CVE-2026-9545: läcka av tidiga HTTP/3-data (med alternativet CURLSSLOPT_EARLYDATA);
  • CVE-2026-9546: skickar gammal referens;
  • CVE-2026-9547: felaktig värdverifiering vid användning av SSH;
  • CVE-2026-10536: användning av minne efter att trådberoenden i HTTP/2 har frigjorts;
  • CVE-2026-11352: vänteloop i QUIC med noll-längd UDP-datagram;
  • CVE-2026-11564: behålla förtroendet för det inbyggda certifikatlagret även efter att ha bytt till användarspecifika certifikat;
  • CVE-2026-11586: minnesutarmning WS Auto-PONG;
  • CVE-2026-12064: proto-default missade SSH-verifiering.

Övriga förändringar

• förbättringar i namngivna sökmallar. Exempel:

curl "https://img.example/photo[1-1000].jpg" -o "local-#.jpeg"
curl "https://example.{org,com}/{