Merge pull request #17804 from Habbie/new-in-51-not-52

auth settings docs: fix "added-in" version numbers

Merge pull request #17808 from ersingundem/dnsdist-fix-web-dashboard-drops

dnsdist: Fix drops in the web dashboard

Merge pull request #17770 from miodvallat/unknotted

auth: safer error handling in bind parser

Merge pull request #17771 from miodvallat/retry_ignore

remove objectionable abort() calls

Merge pull request #17778 from miodvallat/nonrandom_api_axfr

auth api: allow a primary server address to be passed to the axfr-retrieve endpoint

Merge pull request #17787 from miodvallat/would_you_like_records_with_that

auth: yet another lmdb buglet

dnsdist: Fix drops in the web dashboard

Signed-off-by: Ersin Gündem <ersingundem@gmail.com>

Merge pull request #17802 from rgacogne/ddist-nghttp2-in-set-last-io-blocked

dnsdist: Properly set the "last IO blocked" flag from incoming DoH

Merge pull request #17801 from rgacogne/ddist-modernize-nghttp2-code

dnsdist: Modernize our `nghttp2`-related code

naptr-additional-processing is coming to 5.1.4

default-soa-edit-api is new in 5.1, not 5.2

dnsdist: USe the short `std::array` version suggested by Miod (thanks!)

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Properly set the "last IO blocked" flag from incoming DoH

It is used in at least one method inherited from `IncomingTCPConnectionState`.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Modernize our `nghttp2`-related code

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17799 from Habbie/dnsdist-eol-word

add "DNSdist" word after "PowerDNS"

Merge pull request #17798 from rgacogne/ddist-nghttp2-error-callback

dnsdist: `nghttp2`'s error callback is "solely for debugging purpose"

add "DNSdist" word after "PowerDNS"

Signed-off-by: Peter van Dijk <peter.van.dijk@powerdns.com>

dnsdist: `nghttp2`'s error callback is "solely for debugging purpose"

So there is no need to terminate the stream/session ourselves.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17797 from rgacogne/dnsname-too-long

dnsname: Account for the existing content when parsing labels

test-dnsname_cc: clang-tidy fixes

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17751 from Support-itecz/lmdb-key-length-check

lmdbbackend: bounds-check compoundOrdername key decoders

dnsname: Don't mix additions and subtractions when possible

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsname: Account for the existing content when parsing labels

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #17790 from rgacogne/dnsname-256

dnsname: Properly reject 256-bytes wire-encoded DNS names

Merge pull request #17789 from omoerbeek/coverity-20260723

Two coverity fixes

Merge pull request #17791 from rgacogne/ddist-coveiryy-20260727

dnsdist: Fix a missed performance optimization reported by Coverity

Merge pull request #17360 from omoerbeek/rec-warmcache

rec: keep cache warm for a list of names

test-dnsname_cc: Fix coverity warning

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Fix a missed performance optimization reported by Coverity

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Handle review comments fomr @rgacogne

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17785 from omoerbeek/rec-warn-CARGO_USE_DEV

rec: add a comment wrt using g++ with CARGO_USE_DEV=1

Merge pull request #17786 from omoerbeek/rec-unsupported-digest-is-not

rec: bandaid for disabling algo 8 also disables DS digest 2

Add docs

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Add basic tests

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Apply suggestions from code review

Co-authored-by: Miod Vallat <miod.vallat@powerdns.com>
Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Add conversion functions (just to be complete)

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Rework logic a bit to make it more resilient against failing cases

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Make number of task threads configurable

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Base of a working mechanism using a multi-index

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Do the actual pin in cache work.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Add keepwarm to recordcache config

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Compute root refresh period based no TTLs of actual records

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Tie force refresh mode into syncres and tasks

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Introduce a "forcedRefresh" flag, which regards the entry expired if half the TTL has passed

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Refactor SyncRes constructor

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Garbage collect unused SyncRes flag

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>
Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Make sure we do not leave dangling internal transactions upon error.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

rec: bandaid for disabling algo 8 also disables DS digest 2

Fixes #17772 in a quick and dirty way.

Proper fix should separate algo handling and digest handling, as
more than one algo can use the same digest.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

rec: add a comment wrt using g++ with CARGO_USE_DEV=1

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17737 from farrokhi/feature/recursor-ede-nta-33

Emit EDE 33 (Negative Trust Anchor) on NTA-covered responses

dnsname: Properly reject 256-bytes wire-encoded DNS names

The length check was off by one for uncompressed names.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>
(cherry picked from commit 740f5ce2cee645926197115f1b97a8aa08300107)

Do not depend upon name mangling.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Allow a primary server address to be passed to the axfr-retrieve endpoint.

Fixes: #14733
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17735 from miodvallat/o'malley's_bar

auth tests: preserve brain cells

Merge pull request #17774 from miodvallat/lmdboom

auth: more lmdb stability

Merge pull request #17780 from miodvallat/sqheavy

auth sqlite: prevent file descriptor leaks in some conditions

Merge pull request #17782 from miodvallat/embarassing_lmdb_bug

auth: fix embarassing lmdb bug

Write transient domain info correctly at domain creation, if split mode.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17779 from Support-itecz/svcb-duplicate-svcparamkey

reject duplicate SvcParamKeys in the SVCB/HTTPS text parser

Check for write access to the SQLite3 database prior to opening it.

This prevents older SQLite libraries to leak file descriptors in some
configurations.

Fixes: #13952
Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

reject duplicate SvcParamKeys in the SVCB/HTTPS text parser

Signed-off-by: Itecz Solution <support@itecz.au>

Merge pull request #17760 from Support-itecz/packetcache-edns-option-bound

Correct the EDNS option length bound in queryMatches

Delint test-packetcache_hh.cc

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Correct the EDNS option length bound in queryMatches

queryMatches did not subtract the 4-byte option header that getNextEDNSOption consumes, so its length bound was looser than hashAfterQname's for the same RDATA and the two could disagree on a malformed OPT option.

Signed-off-by: Itecz Solution <support@itecz.au>

doom-tidy

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Make sure we won't try to mdb_txn_abort a failing mdb_txn_commit.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Make sure lines outputting to cerr are passive.

(i.e. they don't invoke lmdb function).

This will make easier to replace them with structured logging or whatever
in a hypothetical future.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Be sure never to leave pending transactions upon error.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17762 from omoerbeek/rec-wildcard-cname-proof-validation-bypass

rec: Wildcard CNAME proof validation bypass

Two coverity fixes

I hope compilers are smart enough to see that the bottom of the function cannot be reached
(clang is happy with the missing return).

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #16932 from rgacogne/ddistrecvmmsg-from-backends

dnsdist: Add `recvmmsg` support for backend responses

rec: Consistenly use the CacheEntry fields

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Update the validation of previously inserted records when encountering a DNSSEC validation failure

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: NSEC and NSEC3 records in authority need to be validated

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Add a unit test for Palo Alto's wildcard CNAME proof validation bypass

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec: Simplify existing unit test

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17761 from omoerbeek/rec-wildcard-rrsig-labels

rec: RRSIGs with too few labels can lead to bypass of DNSSEC wildcard validation

dnsdist: Be explicit about when the buffer might have been resized

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Do not abort() if we can throw an exception instead.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Do not call abort() if we can't correctly close the database connexion.

This does not help anything.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17754 from miodvallat/cnaaaame

auth: add a test for #2625

Merge pull request #17769 from omoerbeek/rec-nsec-next-out-of-zone

rec: reject NSECs whose next names are out of the zone earlier

Handle include directives lacking semicolons in the lexer.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Add option nodefault.

This disables the default behaviour of simply ECHOing unknown tokens. It
will now error with "flex scanner jammed", and we can fix the lexer.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Turn BindParser lexer errors into proper exceptions.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #17753 from Support-itecz/ctype-unsigned-char

Do not pass signed char to ctype functions in text parsers

Merge pull request #17768 from omoerbeek/auth-geoip-clang-warning

Fix warning: anonymous non-C-compatible type given name for linkage purposes by alias declaration

Fix warning: anonymous non-C-compatible type given name for linkage purposes by alias declaration; add a tag name here

In file included from ../pdns/../modules/geoipbackend/geoipinterface.hh:25:
../pdns/../modules/geoipbackend/geoipbackend.hh:59:25: warning: anonymous non-C-compatible type given name for linkage purposes by alias declaration; add a tag name here [-Wnon-c-typedef-for-linkage]
   59 |   using state_t = struct
      |                         ^
      |                          state_t
../pdns/../modules/geoipbackend/geoipbackend.hh:61:5: note: type is not C-compatible due to this default member initializer
   61 |     unsigned int instance_count{0};
      |     ^~~~~~~~~~~~~~~~~~~~~~~~~~~
../pdns/../modules/geoipbackend/geoipbackend.hh:59:9: note: type is given name 'state_t' for linkage purposes by this alias declaration
   59 |   using state_t = struct
      |         ^
1 warning generated.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Fix clang-tidy complaints

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #17767 from PowerDNS/omoerbeek-patch-1

Correct CVE number in title

Correct CVE number in title

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Set default nta_extended_error to off

Signed-off-by: Babak Farrokhi <babak@farrokhi.net>

res: only attach EDE 33 to queries subject to validation

Fix a condition where a cache hit from record-cache copied validation
status, regardless of whether a client asked for validation or not.

Signed-off-by: Babak Farrokhi <babak@farrokhi.net>

Emit EDE 33 (Negative Trust Anchor) on NTA-covered responses

When a Negative Trust Anchor is in effect, attach an EDNS Extended Error
with info-code 33 to insecure answers whose queried name (or a chased
CNAME target) is covered by the NTA, giving clients an in-band signal
that an NTA applies to the name. The signal only indicates coverage, and
does not imply that the NTA caused insecurity.

Controlled by the new `dnssec.nta-extended-error` setting, enabled by
default. This is for diagnostic purposes only: the validation state and
the AD bit are left intact.

Defined in draft-farrokhi-dnsop-ede-nta ("Disclosure of Negative Trust
Anchors in DNS Responses"):
https://datatracker.ietf.org/doc/draft-farrokhi-dnsop-ede-nta/

Signed-off-by: Babak Farrokhi <babak@farrokhi.net>

Merge pull request #17749 from miodvallat/vector_like_a_pirate

Prefer std::array to std::vector for const values

Merge pull request #17758 from omoerbeek/rec-prep-20260722

rec: prep for 2026-07-22 security release

rec: prep for 2026-07-22 security release

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Add a test for #2625

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Do not pass signed char to ctype functions in text parsers

Signed-off-by: Itecz Solution <support@itecz.au>

Merge pull request #17750 from omoerbeek/ddist-fix-compilation

dnsdist: fix compilation on platforms lacking quiche_conn_set_qlog_path()