cURL 8.21.0 现已发布，具体更新内容包括：

Security

本次发布了18 个新的 curl 漏洞，创下了单次发布漏洞数量以及同一年度内漏洞发布总数的新纪录。

Severity Medium

• CVE-2026-8925：SASL double-free
• CVE-2026-8927：env-set cross-proxy Digest auth 状态泄露
• CVE-2026-9079：过期代理密码泄露
• CVE-2026-11856：cross-origin Digest auth 状态泄露

Severity Low

• CVE-2026-8286：STARTTLS connection reuse 错误
• CVE-2026-8458：不同服务的错误复用
• CVE-2026-8924：尾部点域名超级 Cookie
• CVE-2026-8926：URL 中包含 netrc 和 user 时导致密码泄露
• CVE-2026-8932：连接重用中 mTLS 配置匹配不完整
• CVE-2026-9080：套接字回调暂停后 UAF
• CVE-2026-9545：HTTP/3 早期数据泄露
• CVE-2026-9546：发送过时的 Referer
• CVE-2026-9547：SSH 主机验证不当
• CVE-2026-10536：HTTP/2 stream-dependency tree UAF
• CVE-2026-11352：QUIC zero-length UDP datagrams busy-loop
• CVE-2026-11564：Native CA trust persist
• CVE-2026-11586：WS Auto-PONG 内存耗尽
• CVE-2026-12064：proto-default 跳过 SSH 验证

Changes

由于漏洞报告分散精力，导致合并的新功能比预期要少，以下是最终完成的功能：

• curl：命名通配符
• curl：上传时输出文件名中支持命名通配符
• HTTP/3 proxy CONNECT 和 MASQUE CONNECT-UDP 支持
• 已移除 HTTP/2 stream dependency tracking
• 移除了对 CURLAUTH_DIGEST_IE 的支持
• libssh 新增了对 SHA256 host public keys 的支持

错误修复

修复了 250 多个不同的错误，详情可查看变更日志。

待移除

• 本地加密实现
• NTLM
• SMB
• TLS-SRP 支持

下一个版本计划于 9 月 2 日发布。