Merge pull request #1459 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Russian)

Currently translated at 29.7% (1241 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/ru/

Update autoconf cross-compilation files.

Fix typo when exporting control chars.

Bring back PPD file loader for attributes to ippeveprinter.

Synchronize changes with CUPS 3.0.

Hold jobs using job-password for 15 seconds (Issue #1456)

Merge pull request #1454 from zdohnal/osh-fixes-post-cve

scheduler: Fix possible use_after_free in `cupsdReadClient()`

Merge pull request #1455 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Romanian)

Currently translated at 76.0% (3174 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/ro/

Fix speling (Issue #1452)

scheduler: Fix possible use_after_free in `cupsdReadClient()`

If `cupsdSendHeader()` fails, we free the connection and return -1, but
in that case we try to free the connection again in `cupsdReadClient()`.

Merge pull request #1444 from snejok/new-usb-quirk-no_alt_set

new usb quirk: no-alt-set - won't even try set_conf or set_int_alt_set

Fix JSON output with empty arrays or objects (Issue #1452)

Fixed an annoying typo in the comments

Don't follow symlinks when cleaning out the temporary directory (Issue #1448)

No need extra debug printfs when NO_ALT_SET enabled

conf.c: Fix stopping scheduler on unknown directive

Change the return value to do not trigger stopping the scheduler in case of unknown directive, because stopping the scheduler on config errors should only happen in case of syntax errors.

Merge pull request #1447 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Romanian)

Currently translated at 52.0% (2174 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/ro/

usb-quirks: enable no-alt-set for Samsung M337x 387x 407x Series

04e8:3460 Samsung Electronics Co., Ltd M337x 387x 407x Series

This model print garbage after libusb_set_configuration or libusb_set_interface_alt_setting, especially when the printer has gone into sleep mode.

new usb quirk: no-alt-set - won't even try set_conf or set_int_alt_set

new usb quirk: no-alt-set - won't even try libusb_set_configuration or libusb_set_interface_alt_setting

I noticed that sometimes garbage is printed with my
Samsung ProXpress M3870FD, this happens most often
if the printer has gone to sleep (after 1 min by default).

So if I print something 10 times, I get garbage 3-4 times.

After month of investigating I found that Samsung devices
don't like libusb_set_configuration or
libusb_set_interface_alt_setting.

My device:

04e8:3460 Samsung Electronics Co., Ltd M337x 387x 407x Series

https://blog.stuffedcow.net/2011/10/samsung-linux-cups-usb-printing/

apple/cups#3965

OpenPrinting/system-config-printer#408

https://github.com/OpenPrinting/cups/blob/master/backend/usb-libusb.c (search by "Samsung")

conf.c: Fix stopping scheduler on unknown directive

Change the return value to do not trigger stopping the scheduler in case
of unknown directive, because stopping the scheduler on config errors
should only happen in case of syntax errors.

Update cert username field to match connection username field size (Issue #1441)

http.c: Fix infinite loop in GTK apps

GTK has a specific IPP processing which stopped working after
CVE-2025-58436 fix. GTK depends on internal behavior of `_httpUpdate()`
which read a line from connection at the start of function, which was
one of culprits behind CVE-2025-58436.

To mitigate CVE-2025-58436 `_httpUpdate()` started to read from
connection only if there was data in internal HTTP buffer and there
was at least one newline buffered - otherwise the function returns
HTTP_ERROR/HTTP_CONTINUE, which caused the loop in GTK.

The change which fixes GTK behavior in the PR is to read data from
connection at the start of `_httpUpdate()` for non-blocking connections
immediately with no timeout if internal HTTP buffer is not full. The
change mitigates the CVE as well as the previous implementation.

Fixes #1429

http.c: Fix infinite loop in GTK print dialog

GTK has a specific IPP processing which stopped working after
CVE-2025-58436 fix. GTK depends on internal behavior of `_httpUpdate()`
which read a line from connection at the start of function, which was
one of culprits behind CVE-2025-58436.

To mitigate CVE-2025-58436 `_httpUpdate()` started to read from
connection only if there was data in internal HTTP buffer and there
was at least one newline buffered - otherwise the function returns
HTTP_ERROR/HTTP_CONTINUE, which caused the loop in GTK.

The change which fixes GTK behavior in the PR is to read data from
connection at the start of `_httpUpdate()` for non-blocking connections
immediately with no timeout if internal HTTP buffer is not full. The
change mitigates the CVE as well as the previous implementation.

Fixes #1429

Make sure 2-byte UTF-8 sequence is complete (Issue #1438)

Merge pull request #1435 from OpenPrinting/dependabot/github_actions/actions/upload-artifact-5

Bump actions/upload-artifact from 4 to 5

Merge pull request #1436 from OpenPrinting/dependabot/github_actions/actions/checkout-6

Bump actions/checkout from 5 to 6

Bump actions/checkout from 5 to 6

Bumps [actions/checkout](https://github.com/actions/checkout) from 5 to 6.
- [Release notes](https://github.com/actions/checkout/releases)
- [Changelog](https://github.com/actions/checkout/blob/main/CHANGELOG.md)
- [Commits](https://github.com/actions/checkout/compare/v5...v6)

---
updated-dependencies:
- dependency-name: actions/checkout
  dependency-version: '6'
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Bump actions/upload-artifact from 4 to 5

Bumps [actions/upload-artifact](https://github.com/actions/upload-artifact) from 4 to 5.
- [Release notes](https://github.com/actions/upload-artifact/releases)
- [Commits](https://github.com/actions/upload-artifact/compare/v4...v5)

---
updated-dependencies:
- dependency-name: actions/upload-artifact
  dependency-version: '5'
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

Fix coding style.

Merge commit from fork

Fix various issues in cupsd

Fix various issues in cupsd

Various issues were found by @SilverPlate3, recognized as CVE-2025-61915:

- out of bound write when handling IPv6 addresses,
- cupsd crash caused by null dereference when ErrorPolicy value is empty,

On the top of that, Mike Sweet noticed vulnerability via domain socket,
exploitable locally if attacker has access to domain socket and knows username
of user within a group which is present in CUPS system groups:

- rewrite of cupsd.conf via PeerCred authorization via domain socket

The last vulnerability is fixed by introducing PeerCred directive for cups-files.conf,
which controls whether PeerCred is enabled/disabled for user in CUPS system groups.

Fixes CVE-2025-61915

Merge commit from fork

Fix unresponsive cupsd process caused by a slow client

Fix some issues with job-presets-supported and printer-strings-languages-supported.

Don't use shared libraries for macOS CI runner.

Fix generated test filter scripts.

Fix DEBUG conditional.

Need to invalidate destination cache after removing filters.

Fix syntax.

Always produce the test logs artifacts, especially for failed tests... :)

Update artifact file list.

Add .txt extension to log files to make post-build introspection easier.

Don't copy logs to the build log, just to the build artifact.

On a successful run, move the libcups test.log to test-passed.log.

For GitHub CI, upload test logs as artifacts.

Move logging of printer attributes to common failure cleanup code.

Update new filetype code to look for application/octet-stream and
application/pdf.

Merge pull request #1426 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Czech)

Currently translated at 12.8% (535 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/cs/

Fix unresponsive cupsd process caused by a slow client

If client is very slow, it will slow cupsd process for other clients.
The fix is the best effort without turning scheduler cupsd into
multithreaded process which would be too complex and error-prone when
backporting to 2.4.x series.

The fix for unencrypted communication is to follow up on communication
only if there is the whole line on input, and the waiting time is
guarded by timeout.

Encrypted communication now starts after we have the whole client hello
packet, which conflicts with optional upgrade support to HTTPS via
methods other than method OPTIONS, so this optional support defined in
RFC 2817, section 3.1 is removed. Too slow or incomplete requests are
handled by connection timeout.

Fixes CVE-2025-58436

Check for NULL attr pointer.

Add test filters to allow mimeGetFilterTypes to function on build systems
without the CUPS filters installed.

Add missing lock around domain browser.

Refactor MIME locking.

mimeGetFilterTypes didn't try to find filters to the printer format before
bailing.

Log the attributes returned by the printer when setting up an IPP Everywhere
queue.

Log the printer MIME media type.

Update regular expression for testing media size names.

Merge pull request #1423 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Spanish)

Currently translated at 100.0% (4174 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/es/

Return false if we have an unterminated quoted string token, and do a better job
validating "$ENV[name]" and "${name}" expansions (Issue #1422)

Also update the documentation comments.

Add debug logging of supported formats.

Document that the USB backend supports other "quirks" files in the same
directory as "org.cups.usb-quirks", and where to report issues.

Fix memory leak in cups-oauth.

Merge pull request #1421 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Romanian)

Currently translated at 35.9% (1500 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/ro/

Fix NULL checks in home.cgi.

Report a debug message if we are unable to get the device descriptor when making the URI.

Fix Coverity-reported locking issue for subscriptions.

Fix format errors in Swedish localization.

Report WARNING when we don't have a complete localization.

Add new HTML/CSS developer test page for CUPS web interface (not installed), fix some CSS issues.

Add a new mimeGetFilterTypes function for getting the list of supported document
formats for a printer.  The new algorithm is O(n log n) vs. the old O(n^4) (Issue #1392)

Fix typo in documentation.

Fix regression in cupsResolveConflicts.

Don't use custom prefix for non-standard sizes - use oe or om (Issue #1388)

Add custom default size to media-supported, media-size-supported, and media-col-database as well (Issue #1388)

Report default media in media/-col/-ready (Issue #1388)

Fix potential crash in cups-driverd due to duplicate PPDs (Issue #1355)

Don't error out when scanning for PPDs (Issue #1416)

Fix clang warnings.

Validate referer URL before using it (Issue #1419)

Merge pull request #1418 from snejok/usb-quirks-Samsung-M337x-387x-407x-04e83460

usb-quirks: disable soft-reset for Samsung M337x 387x 407x Series

Merge pull request #1417 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Spanish)

Currently translated at 100.0% (4174 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/es/

Translated using Weblate (Spanish)

Currently translated at 86.0% (3592 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/es/

Make sure options pointer is not NULL.

Merge pull request #1408 from AZero13/cve

Do not allow negative file descriptors to be closed

Do not allow negative file descriptors to be closed

Especially

Merge pull request #1405 from AZero13/refactor

Refactor finish_document_data to use goto better

Set fd to -1

Refactor finish_document_data to use goto better

Merge pull request #1399 from weblate/weblate-cups-cups

Translations update from Hosted Weblate

Translated using Weblate (Spanish)

Currently translated at 79.0% (3301 of 4174 strings)

Translation: CUPS/CUPS
Translate-URL: https://hosted.weblate.org/projects/cups/cups/es/

Merge pull request #1398 from OpenPrinting/dependabot/github_actions/github/codeql-action-4

Bump github/codeql-action from 3 to 4

Bump github/codeql-action from 3 to 4

Bumps [github/codeql-action](https://github.com/github/codeql-action) from 3 to 4.
- [Release notes](https://github.com/github/codeql-action/releases)
- [Changelog](https://github.com/github/codeql-action/blob/main/CHANGELOG.md)
- [Commits](https://github.com/github/codeql-action/compare/v3...v4)

---
updated-dependencies:
- dependency-name: github/codeql-action
  dependency-version: '4'
  dependency-type: direct:production
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>

usb-quirks: disable soft-reset for Samsung M337x 387x 407x Series

04e8:3460 Samsung Electronics Co., Ltd M337x 387x 407x Series

I noticed that after first page is printed in CUPS scanner stops responding

Fix cupsJWTSign for EC with GNU TLS.

Update list of attributes for each group.

Pick up fixed from libcups for cupsCreateCredentials, cupsCreateCredentialsRequest, and httpGetDateTime.

Add "WITH-VALUE !number" comparison for ipptool.

Clean up man pages.

Update/sync docos.

Cleanup and sync with changes from libcups.