RELEASE-NOTES: synced

curl 8.16.0 release

VERSIONS: update past versions

THANKS: names from the 8.16.0 cycle

pytest: bind to localhost

Pointed out by CodeQL

Fixes https://github.com/curl/curl/security/code-scanning/298

Closes #18506

GHA: update github/codeql-action digest to d3678e2

Closes #18507

GHA/codeql: scan GHA workflows and Python

Closes #18504

Dockerfile: update debian:bookworm-slim Docker digest to df52e55

Closes #18499

lib: introduce `CURL_ACCEPT()`

To avoid overriding the system symbol `accept`, which is a macro on some
systems (AIX), and thus can't be called via the `(function)` PP trick.

It's also problematic to reset such macro to its original value.

Follow-up to 3bb5e58c105d7be450b667858d1b8e7ae3ded555 #17827
Reported-by: Andrew Kirillov
Fixes #18500
Closes #18501
Closes #18502

_ENVIRONMENT.md: document NETRC

Follow-up to 378713deb2cf5137c7cffe6227d9d5

Closes #18497

docs: put `<>` within backticks in titles

To render better markdown. Make managen warn if present "unticked" and
unescaped.

Closes #18498

vquic: replace assert

Replace the hard assert in case not all data is send on UDP
(which should never happen), with an error return.

Closes #18495

ws: get a new mask for each new outgoing frame

Reported-by: Calvin Ruocco
Closes #18496

curl_setup.h: include `limits.h` before testing for `#ifndef SSIZE_MAX`

Ref: 93f333c18fffc3c091b149f3e0ec2ca02b8dab40 #18426 #18406
Fixes #18493
Closes #18494

KNOWN_BUGS: OpenSSL-QUIC problems on google.com

Closes #18336
Closes #18492

RELEASE-PROCEDURE.md: drop the _newslog edit mention

Because that file has now been removed from the website repository

RELEASE-PROCEDURE.md: remove some old release dates, add some new

mailmap: unify on James

GHA/linux: run on `.md` file changes

To execute runtests on Markdown files. E.g. test 1275.

Bug: https://github.com/curl/curl/pull/18486#issuecomment-3263681032

Closes #18487

lib: fix broken link in comment

BINDINGS: point a link to archive.org

The original website is hosting different content now.

Closes #18489

VULN-DISCLOSURE-POLICY: make it pass test 1275

```
test 1275...[Verify capital letters after period in markdown files]
 ../../docs/VULN-DISCLOSURE-POLICY.md:426:55:error: lowercase daily after period
 * regular communication from communication leader (ex. daily update)
```
Ref: https://github.com/curl/curl/actions/runs/17527331816/job/49779555753?pr=18485

Also: add ending slashes to 2 URLs.

Follow-up to 6905370df5fcf2b0d0fc443448d17fc98113b067 #18483
Closes #18486

openldap: fix `-Wtentative-definition-compat`

It's a `-Weverything` warning that appeared in llvm/clang 21.

```
lib/openldap.c:1297:19: warning: duplicate declaration of 'ldapsb_tls' is invalid in C++ [-Wtentative-definition-compat]
 1297 | static Sockbuf_IO ldapsb_tls =
      |                   ^
lib/openldap.c:499:19: note: previous declaration is here
  499 | static Sockbuf_IO ldapsb_tls;
      |                   ^
```

Reported-by: correctmost on github
Fixes #18470
Cherry-picked from #18477
Closes #18485

docs: add major incident section to vuln disclosure policy

Closes #18483

RELEASE-NOTES: synced

websocket: handling of PONG frames

The auto PONG frames were inserted into the connection at the time
a PING had been decoded, irregardless if an upstream frame was just
in the middle of being assembled.

Add PONG frames only to the buffer if there is no frame currently
assemebled and, if it is, set the control frame aside. This control
frame is then added on the first opportunity of a "clean" send buffer.

There is only a single control frame set aside at a time. This means
a double PING will, when the PONG cannot be sent right away, only
send the last PONG.

I imagine this is fine. We want to prevent the endless buffering of
PONG frames on a connection where the server sends but does no receives.

Reported-by: Calvin Ruocco
Fixes #16706
Closes #18479

gha: Update actions/labeler action to v6

spacecheck: warn for 3+ empty lines in a row, fix fallouts

Closes #18478

websocket: reset upload_done when sending data

Sending websocket data did not clear the "upload_done" flag of
the initial HTTP Upgrade request, leading to KEEP_SEND never be
cleared. This caused the socket to be polled for INOUT after all
the websocket data had been sent. A busy loop.

Closes #18476

top-complexity: set threshold to 70

Closes #18475

rtsp: split out a subfunction from rtsp_do

Takes complexity down from 71 to 52.

Closes #18471

http_add_connection_hd: respect previous error

Pointed out by CodeSonar

Closes #18472

cmake: fix setting LTO properties on the wrong targets

Follow-up to ae1a861bd62339b34cfd433e5941904e7d6878a1 #17043

Closes #18469

lib: drop `UNUSED_PARAM` macro

Added in 2011, but has seen little use in the code. The necessary
compiler feature is missing in some compilers (e.g. MSVC), thus in most
places the portable `(void)` cast is used in addition.

Also:
- vtls/rustls: silence unused argument warning with `(void)`.
  Necessary for MSVC, for example.

Ref: ee4ed461288ec74641e3b96d5508628c07f689b0

Closes #18455

tidy-up: drop stray "unused" comments

Closes #18453

multi: limit-rate revisited

Tweaks around handling of --limit-rate:

* tracing: trace outstanding timeouts by name
* multi: do not mark transfer as dirty that have
  an EXPIRE_TOOFAST set
* multi: have one static function to asses speed limits
* multi: when setting EXPIRE_TOOFAST remove the transfers
  from the dirty set
* progress: rename vars and comment on how speed limit
  timeouts are calculated, for clarity
* transfer: when speed limiting, exit the receive loop
  after a quarter of the limit has been received, not
  on the first chunk received.
* cf-ip-happy.c: clear EXPIRE_HAPPY_EYEBALLS on connect
* scorecard: add --limit-rate parameter to test with
  speed limits in effect

Closes #18454

GHA: update nghttp2/nghttp2 to v1.67.0

Closes #18456

test763: verify IDN hostname with zero width characters only

Bonus: fix memory leak in exit path from 967a626af48aafd37

Closes #18465

tests: remove the 'none' server

Only actually needed servers should be listed and none is then implied
if no servers are listed.

Outputs a warning if "none" is still set as a server.

Closes #18466

http: do the cookie list access under lock

A previous refactor of cookie logic changed Curl_cookie_getlist to no
longer return a list of copied cookies, but instead return a linked list
pointing to existing cookies. The returned linked list is accessed
outside of the scope of the cookie share lock in http_cookies, which
leads to issues if the shared cookie list is modified at the same time.
This is the relevant commit: be39ed1

Closes #18457

GHA: Update cloudflare/quiche to v0.24.6

Closes #18464

pytest: add tests for getting a non-existing ftp file

Check that return code is 78.

Closes #18463

idn: reject conversions that end up as a zero length hostname

Reported-by: RepoRascal on hackerone
Closes #18462

GHA: update awslabs/aws-lc to v1.60.0

Closes #18458

tool_getparam: warn on more unicode prefixes

If a string argument is expected and the first two bytes are 0xe2 ex80
and the third has the 7th bit set, that's enough for curl to warn.

Previously we tried to detect and warn only for the unicode double
quote, but users might use single quotes, other quotes or even lead the
argument with one of the "zero widths" characters. This is an attempt to
detect many of those. Without triggering for "normal" IDN hostnames.

Closes #18459

RELEASE-NOTES: synced

projects: fix Windows project 'clean' function

- Fix generate.bat "-clean" option.

- Change version template substitutes to match old files, eg go back to
  using format version "11.00" instead of "11.0".

- Limit the vcxproj filters file types that are filtered to c, h, rc.

- Get rid of the tmpl extension from template files and add a README
  to the tmpl directory explaining the purpose of the files.

- gitignore VCxx directories entirely rather than individual file types.

- Do not remove the VC directories during clean, instead remove just the
  generated project files.

Removing the VC directories has the unwanted behavior of removing files
other than those generated. Visual Studio will generate its own
preference files (like if you have some debug arguments in your .suo)
and those files sit in the VC directories. We ignore those files since
they are the user's files and should not be deleted. Also the user may
have their own untracked files that we shouldn't be deleting.

Follow-up to 57d349fe which consolidated the project templates.

Assisted-by: Viktor Szakats
Closes https://github.com/curl/curl/pull/18412

docs: fix typo (staring -> starting)

Closes #18450

.editorconfig: add

This allows IDEs that support this standard to automatically use the
correct formatting options.

Closes #18409

parsedate: make Curl_getdate_capped able to return epoch

By returning error separately on parse errors and avoiding magic
numbers, this function can now return 0 or -1 as proper dates when such
a date string is provided.

Closes #18445

Curl_http(), decomplexify

Split out adding of individual request headers into a switch. Check
the connection http version only on fresh connections, use separate
methods.

Add TE: header directly without allocation. Add bit for indicating
Connection: header has been added and custom headers should not do
that again.

Closes #18444

CURLINFO_FILETIME*.md: correct the examples

Only -1 means bad value, all others are acceptable.

Ref: #18424
Closes #18447

tool_filetime: correct the conditions

The libcurl API for CURLINFO_FILETIME_T clearly says it contains -1 if
not set. Everything else is a valid time stamp so use that.

Follow-up to 54f1ef05d672453d75a5fc60
Closes #18446

aws-lc: do not use large buffer

test_10_08, uploading larger files for a h2 proxy, sporadically fails
with a decrpytion error on received data in AWS-LC. The frequency can
be increased by simulated network receive blocks.

Not setting a 4 * TLS record sized buffer, leaving AWS-LC at its
default buffer size seems to mitigate this problem.

Closes #18434

autotools: make curl-config executable

This was already done when building using CMake:
https://github.com/curl/curl/blob/fa9151b41ad986e0514d99dd3fe149f26a7a57a3/CMakeLists.txt#L2391-L2394

Closes #18433

cw-out: add assert for data->conn

Instead of checking it runtime. CodeSonar pointed out that if it
actually CAN legitimately be NULL here, then we need to do more checks
for it...

Closes #18440

tool: move the error buffer to the per transfer struct

To avoid having to alloc or manage it separately.

Closes #18442

tool_filetime: accept setting negative filetime

This allows --remote-time to set dates before 1970.

Due to a minor omission in the API, it will still avoid setting the time
if it is indeed exactly epoch 0 (jan 1 1970).

Verified by test 762

Fixes #18424
Reported-by: Terence Eden
Closes #18443

test500: accept 81 allocations

In some configs they happen

Closes #18441

GHA/http3-linux: update dependency ngtcp2/ngtcp2 to v1.15.1

Closes #18439

GHA/windows: update msys2/setup-msys2 digest to fb197b7

https://github.com/msys2/setup-msys2/releases/tag/v2.29.0

Includes perl 5.40.3.

Ref: 5bb49a485c1d34a088e37c18035897364f961559 #18425

Closes #18438

urlglob: only accept 255 globs

- using {} with single entries makes little sense
- when using {} sets with two entry lists, there can only be 64 to reach
  maximum number of URLs

Verify the max check in test 761

curl_setup.h: include `stdint.h` earlier

To have it included by the time checking for `SIZE_MAX` and `SSIZE_MAX`.

Ref: 93f333c18fffc3c091b149f3e0ec2ca02b8dab40 #18426 #18406

Closes #18430

cw-out: handle error codes for 0len writes

Handle errors returned by the callback the same for 0-length writes as
for all the others.

Closes #18428

ngtcp2: handshake timeout should be equal to --connect-timeout

Default timeout is hardcoded (10 seconds) and doesn't respect
--connect-timeout parameter. In some cases 10 seconds can be not enough
or too long to "establish a connection". Moreover the non-working
--connect-timeout parameter for http3 is confusing. This change makes
the handshake timeout equal to --connect-timeout, if it's set.
Discussion is here https://github.com/curl/curl/discussions/18427

Closes #18431

GHA/windows: fix perl 5.40.3 bump fallout with custom-built modules

Perl got bumped from 5.38.4 to 5.40.3. The new version crashes when
loading the `Win32::Process*` modules built and cached in CI. The build
job uses Perl 5.38.4.

To avoid the crash, include the Perl version (hashed) in the cache key,
so that it's only loaded when the Perl version matches.

This solution is imperfect, because some of the jobs will not use the
Perl modules in transition periods, when different jobs use different
Perl versions. Anyway, can't think of a better one for now. Another
option is to drop the effort with these modules. After all they did not
help with crashes and hangs, nor with performance. While adding quite
a bit of CI complexity.

Also:
- test early if the modules load and log the result.

Follow-up to 52775a7fb4ba63d66d60067dea4a5293fb7c55a1 #18296

Closes #18425

curl_setup: use SIZE_MAX instead of SIZE_T_MAX

As SIZE_MAX exists in C99

Assisted-by: Stefan Eissing
Assisted-by: Jay Satiro
Ref: #18406
Closes #18426

clang-tidy: disable `clang-analyzer-security.ArrayBound`

It's causing false-positives with clang-tidy v21, in cases in system
headers (seen in `FD_ISSET()` with macOS SDK). In some cases in
tests/server, there was no distinct source line that was triggering it.

Example:
```
/Applications/Xcode_16.4.app/Contents/Developer/Platforms/MacOSX.platform/Developer/SDKs/MacOSX15.5.sdk/usr/include/sys/_types/_fd_def.h:83:10: error: Potential out of bound access to 'fds_read.fds_bits' with tainted index [clang-analyzer-security.ArrayBound,-warnings-as-errors]
   83 |                 return _p->fds_bits[(unsigned long)_fd / __DARWIN_NFDBITS] & ((__int32_t)(((unsigned long)1) << ((unsigned long)_fd % __DARWIN_NFDBITS)));
      |                        ^
[...]
/Users/runner/work/curl/curl/tests/server/socksd.c:679:5: note: Taking false branch
  679 |     if(rc < 0) {
      |     ^
```

Closes #18422

DEPRECATE.md: drop old OpenSSL versions

Closes #18413

cookie: simplifications

- add Curl_secure_context(), to have it determined in a single place.

- tweak the Curl_cookie_getlist() proto. Move some logic into the
  function - at is only called in a single place. Instead of forcing the
  caller to do it.

- make 'is_ip' a const

Closes #18419

requests: fix uninitialized var

init char whose address is passed for a 0-length buffer, clang does not
like it

Refs #18418
Closes #18420

websocket: improve handling of 0-len frames

Write out 9-length frames to client's WRITEFUNCTION
Read 0-length frames from READFUNCTION *if* the function
started a new frame via `curl_ws_start_frame()`.

Fixes #18286
Closes #18332
Reported-by: Andriy Druk

RELEASE-NOTES: synced

HTTP3.md: avoid `configure` issue for ngtcp2 1.14.0+ compatibility

Applied the same workaround to the build examples as used earlier in CI.
That is, drop `<path> from `--with-ngtcp2=<path>` and configure env
`PKG_CONFIG_PATH` instead.

Till the root cause is fixed.

Ref: 99500660af19f89069e71c2251c13963401b3806 #18028

Reported-by: Pavel Kropachev
Fixes #18188
Closes #18415

DEPRECATE.md: drop support for c-ares versions before 1.16.0

in March 2026

That month, c-ares 1.16.0 celebrates its sixth birthday.

Closes #18408

schannel: fix renegotiation

- Move the schannel_recv renegotiation code to function
  schannel_recv_renegotiate.

- Save the state of a pending renegotiation.

- Pre-empt schannel_recv and schannel_send to continue a pending
  renegotation.

- Partially block during renegotiation if necessary.

Prior to this change, since a1850ad7 (precedes 8.13.0), schannel_recv
did not properly complete renegotiation before attempting to decrypt
data. In some cases that could cause an error SEC_E_CONTEXT_EXPIRED.
Most of the time though DecryptMessage would succeed by chance and
return SEC_I_RENEGOTIATE which allowed the renegotiation to continue.

Reported-by: stephannn@users.noreply.github.com
Reported-by: Dustin L. Howett
Fixes https://github.com/curl/curl/issues/18029
Closes https://github.com/curl/curl/pull/18125

schannel: fix memory leak during handshake

Follow-up to b6a5f672 which improved the handshake procedure.

Ref: https://github.com/curl/curl/pull/18323

Closes https://github.com/curl/curl/pull/18410

tests: remove the QUIT filters

Once added in cd4aee156f64f44bb1f1 to work around connection shutdown
issues.

Closes #18405

wolfssl: simplify Curl_wssl_ctx_init

by splitting out functions for client certificate and setting min/max
TLS version

Closes #18402

GHA/linux: build `-O3` job with unity batches to save 10-15s

Before (build, test run):
https://github.com/curl/curl/actions/runs/16974205126/job/48118716664 25s, 12m56
https://github.com/curl/curl/actions/runs/16973102133/job/48114977897 24s, 12m51

After, with batch size 50 (build, test run):
https://github.com/curl/curl/actions/runs/17250901063/job/48952645881?pr=18293 16s, 12m51
https://github.com/curl/curl/actions/runs/17250901063/job/48953665204?pr=18293 17s, 12m42

Closes #18293

ftp: simplify

- Avoid checking what's always true. The ftpcode pointer is always
  passed in, so use it.
- Simplified an indent level somewhat
- Split out two functions from the state machine

Closes #18403

runtests: remove warning message

Every time we first run runtests with -j and then again *without* -j,
this message was shown:

  "Warning: $runnerid: cleardir(log) failed"

Not anymore.

Closes #18404

socks_sspi: simplify, clean up Curl_SOCKS5_gssapi_negotiate

This function returned error on MANY places, each with its own cleanup
sequence and by the look of it almost all of them were incomplete,
making them leak resources on errors.

This take now gotos to the error label where it cleans everything up
before returning error. This also simplifies the function a lot.

Closes #18315

tool_getparam: let --trace-config override -v

If --trace-config is used to set a level before -v is used, don't reset
the state on first -v (to "-all") as it otherwise does. This way,
--trace-config can be used to set specific trace items before -v on the
command line and it still works.

Previously, the first -v use would otherwise reset and undo the earlier
--trace-config items.

Fixes #18346
Closes #18361

GHA/http3-linux: add AWS-LC and BoringSSL jobs

Closes #18391

GHA/curl-for-win: drop x86, fix zlib-classic, switch back to libssh

- switch x86 job to x64. x86 is not longer actively maintained in
  curl-for-win.
  Ref: https://github.com/curl/curl-for-win/discussions/68

- switch back from libssh2 to libssh.
  Reverts af8e1aa4b06e9dc78a559b485348e5464bd5cff5 #18257

- fix to really build with zlib-classic.
  Follow-up to 80768248700ae1e33fdedffd2e8bd78167b793aa #17357

Closes #18400

write-out.md: header_json is not included the json object

Fixes #18390
Reported-by: Sebastian Carlos
Closes #18399

tool_urlglob: add integer overflow protection

It is most likely impossible to actually overflow, but this makes it
certain.

Closes #18398

projects: generate from a single template

The three projects (VC10, VC11, VC12) are identical except 5 repeated
strings in them. They also require running `generate.bat` before use,
to populate source files. Reduce the 3 almost identical projects to
a single template project and populate the repeated strings also via
`generate.bat`. This reduces the maintenance burden to a single copy of
the project files. Also saving 10000 LOCs.

Closes #18396

RELEASE-NOTES: synced

docs: point two broken links to archive.org

Closes #18393

projects: drop unused logic from `generate.bat`

Follow-up to 5a0644fae8493bc50959f46b0891d661b31f66e2 #8442

Closes #18397

openssl: assume `OPENSSL_VERSION_NUMBER`

It's defined in all supported OpenSSL versions and forks.

Also formatting in `md4.c`.

Closes #18388

openssl: BoringSSL / AWS-LC tidy-ups

- schannel: apply BoringSSL workaround to AWS-LC too.
  Affects Schannel + AWS-LC MultiSSL builds. (not tested in CI)
  Ref: 274940d7438af7ef92ce3e11d75620db94675932 #2643 #2634

- curl_ntlm_core: deduplicate macro defines.

- curl_ntlm_core: document version thresholds for an AWS-LC-specific
  workaround.
  It was necessary between v1.2.0 2022-09-01 and v1.30.1 2024-06-21.
  No longer necessary since v1.31.0 2024-07-01:
  https://github.com/aws/aws-lc/commit/ba94617d99c18949711e8e405721ea85a2b38c3f
  Follow-up to 34ef4fab22d93cf7ef1d6c2954a0bad19f323ea9 #10320

- lib758: drop redundant OpenSSL version guards.
  `OPENSSL_VERSION_NUMBER > 3` automatically guards against LibreSSL,
  BoringSSL and AWS-LC.
  Ref: https://github.com/curl/curl/pull/18288/commits/6ddd8f2c0bbfcb0847b1ee7f257fb772fa47310c
  Follow-up to a5f0ab7995bbb6e269feb3a516f804a65c753705 #18288

- dllmain, curl_sha512_256: formatting.

Closes #18387

GHA/linux: add BoringSSL job, with runtests, pytests and cache

Ref: cff4c16b83b1cc57469b2f729d1d06c7828f9f0f #18385
Cherry-picked from #18384
Closes #18386

docs: fix link CONTRIBUTE.md link

Closes #18372

mdlinkcheck: handle links with a leading slash properly

Ref: #18372
Closes #18382

pytest: fix test_17_09_ssl_min_max for BoringSSL

Ref: https://github.com/curl/curl/actions/runs/17179514833/job/48740057095

Also fix indent.

Cherry-picked from #18384
Closes #18385

openssl: sync an AWS-LC guard with BoringSSL

BoringSSL always used the same type:
https://boringssl.googlesource.com/boringssl/+/103ed08549a74af9f03363c633028faf9a475066
https://github.com/google/boringssl/commit/103ed08549a74af9f03363c633028faf9a475066

But, this codepath isn't built with BoringSSL, because it defines
`OPENSSL_NO_OCSP` via `opensslconf.h`.

Also drop an out-of-place `#endif` comment.

Ref: 20f4e94eebbdcfe590ae99cb8a3f2ca1b8f970a0 #11568

Closes #18384

openssl: drop single-use interim macro `USE_OPENSSL_SRP`

Closes #18383

asyn-thrdd: more simplifications

- use wakeup sockets non-locked.
- send wakeup notify only in normal control flow (not cancel). close
  wakeup sockets in unlink only.
- remove 5ms thread lifetime wait crutch before pthread_cancel().

Closes #18380