contrib/expat/Changes

   1 NOTE: We are looking for help with a few things:
   2       https://github.com/libexpat/libexpat/labels/help%20wanted
   3       If you can help, please get in touch.  Thanks!
   4
   5 Release 2.4.3 Sun January 16 2022
   6         Security fixes:
   7        #531 #534  CVE-2021-45960 -- Fix issues with left shifts by >=29 places
   8                     resulting in
   9                       a) realloc acting as free
  10                       b) realloc allocating too few bytes
  11                       c) undefined behavior
  12                     depending on architecture and precise value
  13                     for XML documents with >=2^27+1 prefixed attributes
  14                     on a single XML tag a la
  15                     "<r xmlns:a='[..]' a:a123='[..]' [..] />"
  16                     where XML_ParserCreateNS is used to create the parser
  17                     (which needs argument "-n" when running xmlwf).
  18                     Impact is denial of service, or more.
  19        #532 #538  CVE-2021-46143 (ZDI-CAN-16157) -- Fix integer overflow
  20                     on variable m_groupSize in function doProlog leading
  21                     to realloc acting as free.
  22                     Impact is denial of service or more.
  23             #539  CVE-2022-22822 to CVE-2022-22827 -- Prevent integer overflows
  24                     near memory allocation at multiple places.  Mitre assigned
  25                     a dedicated CVE for each involved internal C function:
  26                     - CVE-2022-22822 for function addBinding
  27                     - CVE-2022-22823 for function build_model
  28                     - CVE-2022-22824 for function defineAttribute
  29                     - CVE-2022-22825 for function lookup
  30                     - CVE-2022-22826 for function nextScaffoldPart
  31                     - CVE-2022-22827 for function storeAtts
  32                     Impact is denial of service or more.
  33
  34         Other changes:
  35             #535  CMake: Make call to file(GENERATE [..]) work for CMake <3.19
  36             #541  Autotools|CMake: MinGW: Make run.sh(.in) work for Cygwin
  37                     and MSYS2 by not going through Wine on these platforms
  38        #527 #528  Address compiler warnings
  39        #533 #543  Version info bumped from 9:2:8 to 9:3:8;
  40                     see https://verbump.de/ for what these numbers do
  41
  42         Infrastructure:
  43             #536  CI: Check for realistic minimum CMake version
  44        #529 #539  CI: Cover compilation with -m32
  45             #529  CI: Store coverage reports as artifacts for download
  46             #528  CI: Upgrade Clang from 11 to 13
  47
  48         Special thanks to:
  49             An anonymous whitehat
  50             Christopher Degawa
  51             J. Peter Mugaas
  52             Tyson Smith
  53                  and
  54             GCC Farm Project
  55             Trend Micro Zero Day Initiative
  56
  57 Release 2.4.2 Sun December 19 2021
  58         Other changes:
  59        #509 #510  Link againgst libm for function "isnan"
  60        #513 #514  Include expat_config.h as early as possible
  61             #498  Autotools: Include files with release archives:
  62                     - buildconf.sh
  63                     - fuzz/*.c
  64        #507 #519  Autotools: Sync CMake templates
  65        #495 #524  CMake: MinGW: Fix pkg-config section "Libs" for
  66                     - non-release build types (e.g. -DCMAKE_BUILD_TYPE=Debug)
  67                     - multi-config CMake generators (e.g. Ninja Multi-Config)
  68        #502 #503  docs: Document that function XML_GetBuffer may return NULL
  69                     when asking for a buffer of 0 (zero) bytes size
  70        #522 #523  docs: Fix return value docs for both
  71                     XML_SetBillionLaughsAttackProtection* functions
  72        #525 #526  Version info bumped from 9:1:8 to 9:2:8;
  73                     see https://verbump.de/ for what these numbers do
  74
  75         Special thanks to:
  76             Dong-hee Na
  77             Joergen Ibsen
  78             Kai Pastor
  79
  80 Release 2.4.1 Sun May 23 2021
  81         Bug fixes:
  82        #488 #490  Autotools: Fix installed header expat_config.h for multilib
  83                     systems; regression introduced in 2.4.0 by pull request #486
  84
  85         Other changes:
  86        #491 #492  Version info bumped from 9:0:8 to 9:1:8;
  87                     see https://verbump.de/ for what these numbers do
  88
  89         Special thanks to:
  90             Gentoo's QA check "multilib_check_headers"
  91
  92 Release 2.4.0 Sun May 23 2021
  93         Security fixes:
  94    #34 #466 #484  CVE-2013-0340/CWE-776 -- Protect against billion laughs attacks
  95                     (denial-of-service; flavors targeting CPU time or RAM or both,
  96                     leveraging general entities or parameter entities or both)
  97                     by tracking and limiting the input amplification factor
  98                     (<amplification> := (<direct> + <indirect>) / <direct>).
  99                     By conservative default, amplification up to a factor of 100.0
 100                     is tolerated and rejection only starts after 8 MiB of output bytes
 101                     (=<direct> + <indirect>) have been processed.
 102                     The fix adds the following to the API:
 103                     - A new error code XML_ERROR_AMPLIFICATION_LIMIT_BREACH to
 104                       signals this specific condition.
 105                     - Two new API functions ..
 106                       - XML_SetBillionLaughsAttackProtectionMaximumAmplification and
 107                       - XML_SetBillionLaughsAttackProtectionActivationThreshold
 108                       .. to further tighten billion laughs protection parameters
 109                       when desired.  Please see file "doc/reference.html" for details.
 110                       If you ever need to increase the defaults for non-attack XML
 111                       payload, please file a bug report with libexpat.
 112                     - Two new XML_FEATURE_* constants ..
 113                       - that can be queried using the XML_GetFeatureList function, and
 114                       - that are shown in "xmlwf -v" output.
 115                     - Two new environment variable switches ..
 116                       - EXPAT_ACCOUNTING_DEBUG=(0|1|2|3) and
 117                       - EXPAT_ENTITY_DEBUG=(0|1)
 118                       .. for runtime debugging of accounting and entity processing.
 119                       Specific behavior of these values may change in the future.
 120                     - Two new command line arguments "-a FACTOR" and "-b BYTES"
 121                       for xmlwf to further tighten billion laughs protection
 122                       parameters when desired.
 123                       If you ever need to increase the defaults for non-attack XML
 124                       payload, please file a bug report with libexpat.
 125
 126         Bug fixes:
 127        #332 #470  For (non-default) compilation with -DEXPAT_MIN_SIZE=ON (CMake)
 128                     or CPPFLAGS=-DXML_MIN_SIZE (GNU Autotools): Fix segfault
 129                     for UTF-16 payloads containing CDATA sections.
 130        #485 #486  Autotools: Fix generated CMake files for non-64bit and
 131                     non-Linux platforms (e.g. macOS and MinGW in particular)
 132                     that were introduced with release 2.3.0
 133
 134         Other changes:
 135        #468 #469  xmlwf: Improve help output and the xmlwf man page
 136             #463  xmlwf: Improve maintainability through some refactoring
 137             #477  xmlwf: Fix man page DocBook validity
 138        #458 #459  CMake: Support absolute paths for both CMAKE_INSTALL_LIBDIR
 139                     and CMAKE_INSTALL_INCLUDEDIR
 140        #471 #481  CMake: Add support for standard variable BUILD_SHARED_LIBS
 141             #457  Unexpose symbol _INTERNAL_trim_to_complete_utf8_characters
 142             #467  Resolve macro HAVE_EXPAT_CONFIG_H
 143             #472  Delete unused legacy helper file "conftools/PrintPath"
 144        #473 #483  Improve attribution
 145   #464 #465 #477  doc/reference.html: Fix XHTML validity
 146        #475 #478  doc/reference.html: Replace the 90s look by OK.css
 147             #479  Version info bumped from 8:0:7 to 9:0:8
 148                     due to addition of new symbols and error codes;
 149                     see https://verbump.de/ for what these numbers do
 150
 151         Infrastructure:
 152             #456  CI: Enable periodic runs
 153             #457  CI: Start covering the list of exported symbols
 154             #474  CI: Isolate coverage task
 155        #476 #482  CI: Adapt to breaking changes in image "ubuntu-18.04"
 156             #477  CI: Cover well-formedness and DocBook/XHTML validity
 157                     of doc/reference.html and doc/xmlwf.xml
 158
 159         Special thanks to:
 160             Dimitry Andric
 161             Eero Helenius
 162             Nick Wellnhofer
 163             Rhodri James
 164             Tomas Korbar
 165             Yury Gribov
 166                  and
 167             Clang LeakSan
 168             JetBrains
 169             OSS-Fuzz
 170
 171 Release 2.3.0 Thu March 25 2021
 172         Bug fixes:
 173             #438  When calling XML_ParseBuffer without a prior successful call to
 174                     XML_GetBuffer as a user, no longer trigger undefined behavior
 175                     (by adding an integer to a NULL pointer) but rather return
 176                     XML_STATUS_ERROR and set the error code to (new) code
 177                     XML_ERROR_NO_BUFFER. Found by UBSan (UndefinedBehaviorSanitizer)
 178                     of Clang 11 (but not Clang 9).
 179             #444  xmlwf: Exit status 2 was used for both:
 180                     - malformed input files (documented) and
 181                     - invalid command-line arguments (undocumented).
 182                     The case of invalid command-line arguments now
 183                     has its own exit status 4, resolving the ambiguity.
 184
 185         Other changes:
 186             #439  xmlwf: Add argument -k to allow continuing after
 187                     non-fatal errors
 188             #439  xmlwf: Add section about exit status to the -h help output
 189   #422 #426 #447  Windows: Drop support for Visual Studio <=14.0/2015
 190             #434  Windows: CMake: Detect unsupported Visual Studio at
 191                     configure time (rather than at compile time)
 192        #382 #428  testrunner: Make verbose mode (argument "-v") report
 193                     about passed tests, and make default mode report about
 194                     failures, as well.
 195             #442  CMake: Call "enable_language(CXX)" prior to tinkering
 196                     with CMAKE_CXX_* variables
 197             #448  Document use of libexpat from a CMake-based project
 198             #451  Autotools: Install CMake files as generated by CMake 3.19.6
 199                     so that users with "find_package(expat [..] CONFIG [..])"
 200                     are served on distributions that are *not* using the CMake
 201                     build system inside for libexpat packaging
 202        #436 #437  Autotools: Drop obsolescent macro AC_HEADER_STDC
 203        #450 #452  Autotools: Resolve use of obsolete macro AC_CONFIG_HEADER
 204             #441  Address compiler warnings
 205             #443  Version info bumped from 7:12:6 to 8:0:7
 206                     due to addition of error code XML_ERROR_NO_BUFFER
 207                     (see https://verbump.de/ for what these numbers do)
 208
 209         Infrastructure:
 210        #435 #446  Replace Travis CI by GitHub Actions
 211
 212         Special thanks to:
 213             Alexander Richardson
 214             Oleksandr Popovych
 215             Thomas Beutlich
 216             Tim Bray
 217                  and
 218             Clang LeakSan, Clang 11 UBSan and the Clang team
 219
 220 Release 2.2.10 Sat October 3 2020
 221         Bug fixes:
 222   #390 #395 #398  Fix undefined behavior during parsing caused by
 223                     pointer arithmetic with NULL pointers
 224        #404 #405  Fix reading uninitialized variable during parsing
 225             #406  xmlwf: Add missing check for malloc NULL return
 226
 227         Other changes:
 228             #396  Windows: Drop support for Visual Studio <=8.0/2005
 229             #409  Windows: Add missing file "Changes" to the installer
 230                     to fix compilation with CMake from installed sources
 231             #403  xmlwf: Document exit codes in xmlwf manpage and
 232                     exit with code 3 (rather than code 1) for output errors
 233                     when used with "-d DIRECTORY"
 234        #356 #359  MinGW: Provide declaration of rand_s for mingwrt <5.3.0
 235        #383 #392  Autotools: Use -Werror while configure tests the compiler
 236                     for supported compile flags to avoid false positives
 237   #383 #393 #394  Autotools: Improve handling of user (C|CPP|CXX|LD)FLAGS,
 238                     e.g. ensure that they have the last word over flags added
 239                     while running ./configure
 240             #360  CMake: Create libexpatw.{dll,so} and expatw.pc (with emphasis
 241                     on suffix "w") with -DEXPAT_CHAR_TYPE=(ushort|wchar_t)
 242             #360  CMake: Detect and deny unsupported build combinations
 243                     involving -DEXPAT_CHAR_TYPE=(ushort|wchar_t)
 244             #360  CMake: Install pre-compiled shipped xmlwf.1 manpage in case
 245                     of -DEXPAT_BUILD_DOCS=OFF
 246   #375 #380 #419  CMake: Fix use of Expat by means of add_subdirectory
 247        #407 #408  CMake: Keep expat target name constant at "expat"
 248                     (i.e. refrain from using the target name to control
 249                     build artifact filenames)
 250             #385  CMake: Fix compilation with -DEXPAT_SHARED_LIBS=OFF for
 251                     Windows
 252                   CMake: Expose man page compilation as target "xmlwf-manpage"
 253        #413 #414  CMake: Introduce option EXPAT_BUILD_PKGCONFIG
 254                     to control generation of pkg-config file "expat.pc"
 255             #424  CMake: Add minimalistic support for building binary packages
 256                     with CMake target "package"; based on CPack
 257             #366  CMake: Add option -DEXPAT_OSSFUZZ_BUILD=(ON|OFF) with
 258                     default OFF to build fuzzer code against OSS-Fuzz and
 259                     related environment variable LIB_FUZZING_ENGINE
 260             #354  Fix testsuite for -DEXPAT_DTD=OFF and -DEXPAT_NS=OFF, each
 261     #354 #355 ..
 262        #356 #412  Address compiler warnings
 263        #368 #369  Address pngcheck warnings with doc/*.png images
 264             #425  Version info bumped from 7:11:6 to 7:12:6
 265
 266         Special thanks to:
 267             asavah
 268             Ben Wagner
 269             Bhargava Shastry
 270             Frank Landgraf
 271             Jeffrey Walton
 272             Joe Orton
 273             Kleber Tarcísio
 274             Ma Lin
 275             Maciej Sroczyński
 276             Mohammed Khajapasha
 277             Vadim Zeitlin
 278                  and
 279             Cppcheck 2.0 and the Cppcheck team
 280
 281 Release 2.2.9 Wed September 25 2019
 282         Other changes:
 283                   examples: Drop executable bits from elements.c
 284             #349  Windows: Change the name of the Windows DLLs from expat*.dll
 285                     to libexpat*.dll once more (regression from 2.2.8, first
 286                     fixed in 1.95.3, issue #61 on SourceForge today,
 287                     was issue #432456 back then); needs a fix due
 288                     case-insensitive file systems on Windows and the fact that
 289                     Perl's XML::Parser::Expat compiles into Expat.dll.
 290             #347  Windows: Only define _CRT_RAND_S if not defined
 291                   Version info bumped from 7:10:6 to 7:11:6
 292
 293         Special thanks to:
 294             Ben Wagner
 295
 296 Release 2.2.8 Fri September 13 2019
 297         Security fixes:
 298        #317 #318  CVE-2019-15903 -- Fix heap overflow triggered by
 299                     XML_GetCurrentLineNumber (or XML_GetCurrentColumnNumber),
 300                     and deny internal entities closing the doctype;
 301                     fixed in commit c20b758c332d9a13afbbb276d30db1d183a85d43
 302
 303         Bug fixes:
 304             #240  Fix cases where XML_StopParser did not have any effect
 305                     when called from inside of an end element handler
 306             #341  xmlwf: Fix exit code for operation without "-d DIRECTORY";
 307                     previously, only "-d DIRECTORY" would give you a proper
 308                     exit code:
 309                       # xmlwf -d . <<<'<not well-formed>' 2>/dev/null ; echo $?
 310                       2
 311                       # xmlwf <<<'<not well-formed>' 2>/dev/null ; echo $?
 312                       0
 313                     Now both cases return exit code 2.
 314
 315         Other changes:
 316        #299 #302  Windows: Replace LoadLibrary hack to access
 317                     unofficial API function SystemFunction036 (RtlGenRandom)
 318                     by using official API function rand_s (needs WinXP+)
 319             #325  Windows: Drop support for Visual Studio <=7.1/2003
 320                     and document supported compilers in README.md
 321             #286  Windows: Remove COM code from xmlwf; in case it turns
 322                     out needed later, there will be a dedicated repository
 323                     below https://github.com/libexpat/ for that code
 324             #322  Windows: Remove explicit MSVC solution and project files.
 325                     You can generate Visual Studio solution files through
 326                     CMake, e.g.: cmake -G"Visual Studio 15 2017" .
 327             #338  xmlwf: Make "xmlwf -h" help output more friendly
 328             #339  examples: Improve elements.c
 329        #244 #264  Autotools: Add argument --enable-xml-attr-info
 330        #239 #301  Autotools: Add arguments
 331                     --with-getrandom
 332                     --without-getrandom
 333                     --with-sys-getrandom
 334                     --without-sys-getrandom
 335        #312 #343  Autotools: Fix linking issues with "./configure LD=clang"
 336                   Autotools: Fix "make run-xmltest" for out-of-source builds
 337        #329 #336  CMake: Pull all options from Expat <=2.2.7 into namespace
 338                     prefix EXPAT_ with the exception of DOCBOOK_TO_MAN:
 339                     - BUILD_doc            -> EXPAT_BUILD_DOCS (plural)
 340                     - BUILD_examples       -> EXPAT_BUILD_EXAMPLES
 341                     - BUILD_shared         -> EXPAT_SHARED_LIBS
 342                     - BUILD_tests          -> EXPAT_BUILD_TESTS
 343                     - BUILD_tools          -> EXPAT_BUILD_TOOLS
 344                     - DOCBOOK_TO_MAN       -> DOCBOOK_TO_MAN (unchanged)
 345                     - INSTALL              -> EXPAT_ENABLE_INSTALL
 346                     - MSVC_USE_STATIC_CRT  -> EXPAT_MSVC_STATIC_CRT
 347                     - USE_libbsd           -> EXPAT_WITH_LIBBSD
 348                     - WARNINGS_AS_ERRORS   -> EXPAT_WARNINGS_AS_ERRORS
 349                     - XML_CONTEXT_BYTES    -> EXPAT_CONTEXT_BYTES
 350                     - XML_DEV_URANDOM      -> EXPAT_DEV_URANDOM
 351                     - XML_DTD              -> EXPAT_DTD
 352                     - XML_NS               -> EXPAT_NS
 353                     - XML_UNICODE          -> EXPAT_CHAR_TYPE=ushort (!)
 354                     - XML_UNICODE_WCHAR_T  -> EXPAT_CHAR_TYPE=wchar_t (!)
 355        #244 #264  CMake: Add argument -DEXPAT_ATTR_INFO=(ON|OFF),
 356                     default OFF
 357             #326  CMake: Add argument -DEXPAT_LARGE_SIZE=(ON|OFF),
 358                     default OFF
 359             #328  CMake: Add argument -DEXPAT_MIN_SIZE=(ON|OFF),
 360                     default OFF
 361        #239 #277  CMake: Add arguments
 362                     -DEXPAT_WITH_GETRANDOM=(ON|OFF|AUTO), default AUTO
 363                     -DEXPAT_WITH_SYS_GETRANDOM=(ON|OFF|AUTO), default AUTO
 364             #326  CMake: Install expat_config.h to include directory
 365             #326  CMake: Generate and install configuration files for
 366                     future find_package(expat [..] CONFIG [..])
 367                   CMake: Now produces a summary of applied configuration
 368                   CMake: Require C++ compiler only when tests are enabled
 369             #330  CMake: Fix compilation for 16bit character types,
 370                     i.e. ex -DXML_UNICODE=ON (and ex -DXML_UNICODE_WCHAR_T=ON)
 371             #265  CMake: Fix linking with MinGW
 372             #330  CMake: Add full support for MinGW; to enable, use
 373                     -DCMAKE_TOOLCHAIN_FILE=[expat]/cmake/mingw-toolchain.cmake
 374             #330  CMake: Port "make run-xmltest" from GNU Autotools to CMake
 375             #316  CMake: Windows: Make binary postfix match MSVC
 376                     Old: expat[d].lib
 377                     New: expat[w][d][MD|MT].lib
 378                   CMake: Migrate files from Windows to Unix line endings
 379             #308  CMake: Integrate OSS-Fuzz fuzzers, option
 380                     -DEXPAT_BUILD_FUZZERS=(ON|OFF), default OFF
 381              #14  Drop an OpenVMS support leftover
 382     #235 #268 ..
 383     #270 #310 ..
 384   #313 #331 #333  Address compiler warnings
 385     #282 #283 ..
 386        #284 #285  Address cppcheck warnings
 387        #294 #295  Address Clang Static Analyzer warnings
 388         #24 #293  Mass-apply clang-format 9 (and ensure conformance during CI)
 389                   Version info bumped from 7:9:6 to 7:10:6
 390
 391         Special thanks to:
 392             David Loffredo
 393             Joonun Jang
 394             Kishore Kunche
 395             Marco Maggi
 396             Mitch Phillips
 397             Mohammed Khajapasha
 398             Rolf Ade
 399             xantares
 400             Zhongyuan Zhou
 401
 402 Release 2.2.7 Wed June 19 2019
 403         Security fixes:
 404        #186 #262  CVE-2018-20843 -- Fix extraction of namespace prefixes from
 405                     XML names; XML names with multiple colons could end up in
 406                     the wrong namespace, and take a high amount of RAM and CPU
 407                     resources while processing, opening the door to
 408                     use for denial-of-service attacks
 409
 410         Other changes:
 411        #195 #197  Autotools/CMake: Utilize -fvisibility=hidden to stop
 412                     exporting non-API symbols
 413             #227  Autotools: Add --without-examples and --without-tests
 414             #228  Autotools: Modernize configure.ac
 415        #245 #246  Autotools: Fix check for -fvisibility=hidden for Clang
 416        #247 #248  Autotools: Fix compilation for lack of docbook2x-man
 417        #236 #258  Autotools: Produce .tar.{gz,lz,xz} release archives
 418             #212  CMake: Make libdir of pkgconfig expat.pc support multilib
 419        #158 #263  CMake: Build man page in PROJECT_BINARY_DIR not _SOURCE_DIR
 420             #219  Remove fallback to bcopy, assume that memmove(3) exists
 421             #257  Use portable "/usr/bin/env bash" shebang (e.g. for OpenBSD)
 422             #243  Windows: Fix syntax of .def module definition files
 423                   Version info bumped from 7:8:6 to 7:9:6
 424
 425         Special thanks to:
 426             Benjamin Peterson
 427             Caolán McNamara
 428             Hanno Böck
 429             KangLin
 430             Kishore Kunche
 431             Marco Maggi
 432             Rhodri James
 433             Sebastian Dröge
 434             userwithuid
 435             Yury Gribov
 436
 437 Release 2.2.6 Sun August 12 2018
 438         Bug fixes:
 439        #170 #206  Avoid doing arithmetic with NULL pointers in XML_GetBuffer
 440        #204 #205  Fix 2.2.5 regression with suspend-resume while parsing
 441                     a document like '<root/>'
 442
 443         Other changes:
 444        #165 #168  Autotools: Fix docbook-related configure syntax error
 445             #166  Autotools: Avoid grep option `-q` for Solaris
 446             #167  Autotools: Support
 447                     ./configure DOCBOOK_TO_MAN="xmlto man --skip-validation"
 448        #159 #167  Autotools: Support DOCBOOK_TO_MAN command which produces
 449                     xmlwf.1 rather than XMLWF.1; also covers case insensitive
 450                     file systems
 451             #181  Autotools: Drop -rpath option passed to libtool
 452             #188  Autotools: Detect and deny SGML docbook2man as ours is XML
 453             #188  Autotools/CMake: Support command db2x_docbook2man as well
 454             #174  CMake: Introduce option WARNINGS_AS_ERRORS, defaults to OFF
 455        #184 #185  CMake: Introduce option MSVC_USE_STATIC_CRT, defaults to OFF
 456        #207 #208  CMake: Introduce option XML_UNICODE and XML_UNICODE_WCHAR_T,
 457                     both defaulting to OFF
 458             #175  CMake: Prefer check_symbol_exists over check_function_exists
 459             #176  CMake: Create the same pkg-config file as with GNU Autotools
 460        #178 #179  CMake: Use GNUInstallDirs module to set proper defaults for
 461                     install directories
 462             #208  CMake: Utilize expat_config.h.cmake for XML_DEV_URANDOM
 463             #180  Windows: Fix compilation of test suite for Visual Studio 2008
 464   #131 #173 #202  Address compiler warnings
 465   #187 #190 #200  Fix miscellaneous typos
 466                   Version info bumped from 7:7:6 to 7:8:6
 467
 468         Special thanks to:
 469             Anton Maklakov
 470             Benjamin Peterson
 471             Brad King
 472             Franek Korta
 473             Frank Rast
 474             Joe Orton
 475             luzpaz
 476             Pedro Vicente
 477             Rainer Jung
 478             Rhodri James
 479             Rolf Ade
 480             Rolf Eike Beer
 481             Thomas Beutlich
 482             Tomasz Kłoczko
 483
 484 Release 2.2.5 Tue October 31 2017
 485         Bug fixes:
 486               #8  If the parser runs out of memory, make sure its internal
 487                     state reflects the memory it actually has, not the memory
 488                     it wanted to have.
 489              #11  The default handler wasn't being called when it should for
 490                     a SYSTEM or PUBLIC doctype if an entity declaration handler
 491                     was registered.
 492        #137 #138  Fix a case of mistakenly reported parsing success where
 493                     XML_StopParser was called from an element handler
 494             #162  Function XML_ErrorString was returning NULL rather than
 495                     a message for code XML_ERROR_INVALID_ARGUMENT
 496                     introduced with release 2.2.1
 497
 498         Other changes:
 499             #106  xmlwf: Add argument -N adding notation declarations
 500         #75 #106  Test suite: Resolve expected failure cases where xmlwf
 501                     output was incomplete
 502             #127  Windows: Fix test suite compilation
 503        #126 #127  Windows: Fix compilation for Visual Studio 2012
 504                   Windows: Upgrade shipped project files to Visual Studio 2017
 505         #33 #132  tests: Mass-fix compilation for XML_UNICODE_WCHAR_T
 506             #129  examples: Fix compilation for XML_UNICODE_WCHAR_T
 507             #130  benchmark: Fix compilation for XML_UNICODE_WCHAR_T
 508             #144  xmlwf: Fix compilation for XML_UNICODE_WCHAR_T; still needs
 509                     Windows or MinGW for 2-byte wchar_t
 510               #9  Address two Clang Static Analyzer false positives
 511              #59  Resolve troublesome macros hiding parser struct membership
 512                     and dereferencing that pointer
 513               #6  Resolve superfluous internal malloc/realloc switch
 514        #153 #155  Improve docbook2x-man detection
 515             #160  Undefine NDEBUG in the test suite (rather than rejecting it)
 516             #161  Address compiler warnings
 517                   Version info bumped from 7:6:6 to 7:7:6
 518
 519         Special thanks to:
 520             Benbuck Nason
 521             Hans Wennborg
 522             José Gutiérrez de la Concha
 523             Pedro Monreal Gonzalez
 524             Rhodri James
 525             Rolf Ade
 526             Stephen Groat
 527                  and
 528             Core Infrastructure Initiative
 529
 530 Release 2.2.4 Sat August 19 2017
 531         Bug fixes:
 532             #115  Fix copying of partial characters for UTF-8 input
 533
 534         Other changes:
 535             #109  Fix "make check" for non-x86 architectures that default
 536                     to unsigned type char (-128..127 rather than 0..255)
 537             #109  coverage.sh: Cover -funsigned-char
 538                   Autotools: Introduce --without-xmlwf argument
 539              #65  Autotools: Replace handwritten Makefile with GNU Automake
 540              #43  CMake: Auto-detect high quality entropy extractors, add new
 541                     option USE_libbsd=ON to use arc4random_buf of libbsd
 542              #74  CMake: Add -fno-strict-aliasing only where supported
 543             #114  CMake: Always honor manually set BUILD_* options
 544             #114  CMake: Compile man page if docbook2x-man is available, only
 545             #117  Include file tests/xmltest.log.expected in source tarball
 546                     (required for "make run-xmltest")
 547             #117  Include (existing) Visual Studio 2013 files in source tarball
 548                   Improve test suite error output
 549             #111  Fix some typos in documentation
 550                   Version info bumped from 7:5:6 to 7:6:6
 551
 552         Special thanks to:
 553             Jakub Wilk
 554             Joe Orton
 555             Lin Tian
 556             Rolf Eike Beer
 557
 558 Release 2.2.3 Wed August 2 2017
 559         Security fixes:
 560              #82  CVE-2017-11742 -- Windows: Fix DLL hijacking vulnerability
 561                     using Steve Holme's LoadLibrary wrapper for/of cURL
 562
 563         Bug fixes:
 564              #85  Fix a dangling pointer issue related to realloc
 565
 566         Other changes:
 567                   Increase code coverage
 568              #91  Linux: Allow getrandom to fail if nonblocking pool has not
 569                     yet been initialized and read /dev/urandom then, instead.
 570                     This is in line with what recent Python does.
 571              #81  Pre-10.7/Lion macOS: Support entropy from arc4random
 572              #86  Check that a UTF-16 encoding in an XML declaration has the
 573                     right endianness
 574         #4 #5 #7  Recover correctly when some reallocations fail
 575                   Repair "./configure && make" for systems without any
 576                     provider of high quality entropy
 577                     and try reading /dev/urandom on those
 578                   Ensure that user-defined character encodings have converter
 579                     functions when they are needed
 580                   Fix mis-leading description of argument -c in xmlwf.1
 581                   Rely on macro HAVE_ARC4RANDOM_BUF (rather than __CloudABI__)
 582                     for CloudABI
 583             #100  Fix use of SIPHASH_MAIN in siphash.h
 584              #23  Test suite: Fix memory leaks
 585                   Version info bumped from 7:4:6 to 7:5:6
 586
 587         Special thanks to:
 588             Chanho Park
 589             Joe Orton
 590             Pascal Cuoq
 591             Rhodri James
 592             Simon McVittie
 593             Vadim Zeitlin
 594             Viktor Szakats
 595                  and
 596             Core Infrastructure Initiative
 597
 598 Release 2.2.2 Wed July 12 2017
 599         Security fixes:
 600              #43  Protect against compilation without any source of high
 601                     quality entropy enabled, e.g. with CMake build system;
 602                     commit ff0207e6076e9828e536b8d9cd45c9c92069b895
 603              #60  Windows with _UNICODE:
 604                     Unintended use of LoadLibraryW with a non-wide string
 605                     resulted in failure to load advapi32.dll and degradation
 606                     in quality of used entropy when compiled with _UNICODE for
 607                     Windows; you can launch existing binaries with
 608                     EXPAT_ENTROPY_DEBUG=1 in the environment to inspect the
 609                     quality of entropy used during runtime; commits
 610                     * 95b95032f907ef1cd17ee7a9a1768010a825d61d
 611                     * 73a5a2e9c081f49f2d775cf7ced864158b68dc80
 612    [MOX-006]      Fix non-NULL parser parameter validation in XML_Parse;
 613                     resulted in NULL dereference, previously;
 614                     commit ac256dafdffc9622ab0dc2c62fcecb0dfcfa71fe
 615
 616         Bug fixes:
 617              #69  Fix improper use of unsigned long long integer literals
 618
 619         Other changes:
 620              #73  Start requiring a C99 compiler
 621              #49  Fix "==" Bashism in configure script
 622              #50  Fix too eager getrandom detection for Debian GNU/kFreeBSD
 623              #52    and macOS
 624              #51  Address lack of stdint.h in Visual Studio 2003 to 2008
 625              #58  Address compile warnings
 626              #68  Fix "./buildconf.sh && ./configure" for some versions
 627                     of Dash for /bin/sh
 628              #72  CMake: Ease use of Expat in context of a parent project
 629                     with multiple CMakeLists.txt files
 630              #72  CMake: Resolve mistaken executable permissions
 631              #76  Address compile warning with -DNDEBUG (not recommended!)
 632              #77  Address compile warning about macro redefinition
 633
 634         Special thanks to:
 635             Alexander Bluhm
 636             Ben Boeckel
 637             Cătălin Răceanu
 638             Kerin Millar
 639             László Böszörményi
 640             S. P. Zeidler
 641             Segev Finer
 642             Václav Slavík
 643             Victor Stinner
 644             Viktor Szakats
 645                  and
 646             Radically Open Security
 647
 648 Release 2.2.1 Sat June 17 2017
 649         Security fixes:
 650                   CVE-2017-9233 -- External entity infinite loop DoS
 651                     Details: https://libexpat.github.io/doc/cve-2017-9233/
 652                     Commit c4bf96bb51dd2a1b0e185374362ee136fe2c9d7f
 653    [MOX-002]      CVE-2016-9063 -- Detect integer overflow; commit
 654                     d4f735b88d9932bd5039df2335eefdd0723dbe20
 655                     (Fixed version of existing downstream patches!)
 656    (SF.net) #539  Fix regression from fix to CVE-2016-0718 cutting off
 657                     longer tag names; commits
 658                     * 896b6c1fd3b842f377d1b62135dccf0a579cf65d
 659                     * af507cef2c93cb8d40062a0abe43a4f4e9158fb2
 660              #16    * 0dbbf43fdb20f593ddf4fa1ff67288000dd4a7fd
 661              #25  More integer overflow detection (function poolGrow); commits
 662                     * 810b74e4703dcfdd8f404e3cb177d44684775143
 663                     * 44178553f3539ce69d34abee77a05e879a7982ac
 664    [MOX-002]      Detect overflow from len=INT_MAX call to XML_Parse; commits
 665                     * 4be2cb5afcc018d996f34bbbce6374b7befad47f
 666                     * 7e5b71b748491b6e459e5c9a1d090820f94544d8
 667    [MOX-005] #30  Use high quality entropy for hash initialization:
 668                     * arc4random_buf on BSD, systems with libbsd
 669                       (when configured with --with-libbsd), CloudABI
 670                     * RtlGenRandom on Windows XP / Server 2003 and later
 671                     * getrandom on Linux 3.17+
 672                     In a way, that's still part of CVE-2016-5300.
 673                     https://github.com/libexpat/libexpat/pull/30/commits
 674    [MOX-005]      For the low quality entropy extraction fallback code,
 675                     the parser instance address can no longer leak, commit
 676                     04ad658bd3079dd15cb60fc67087900f0ff4b083
 677    [MOX-003]      Prevent use of uninitialised variable; commit
 678    [MOX-004]        a4dc944f37b664a3ca7199c624a98ee37babdb4b
 679                   Add missing parameter validation to public API functions
 680                     and dedicated error code XML_ERROR_INVALID_ARGUMENT:
 681    [MOX-006]        * NULL checks; commits
 682                       * d37f74b2b7149a3a95a680c4c4cd2a451a51d60a (merge/many)
 683                       * 9ed727064b675b7180c98cb3d4f75efba6966681
 684                       * 6a747c837c50114dfa413994e07c0ba477be4534
 685                     * Negative length (XML_Parse); commit
 686    [MOX-002]          70db8d2538a10f4c022655d6895e4c3e78692e7f
 687    [MOX-001] #35  Change hash algorithm to William Ahern's version of SipHash
 688                     to go further with fixing CVE-2012-0876.
 689                     https://github.com/libexpat/libexpat/pull/39/commits
 690
 691         Bug fixes:
 692              #32  Fix sharing of hash salt across parsers;
 693                     relevant where XML_ExternalEntityParserCreate is called
 694                     prior to XML_Parse, in particular (e.g. FBReader)
 695              #28  xmlwf: Auto-disable use of memory-mapping (and parsing
 696                     as a single chunk) for files larger than ~1 GB (2^30 bytes)
 697                     rather than failing with error "out of memory"
 698               #3  Fix double free after malloc failure in DTD code; commit
 699                     7ae9c3d3af433cd4defe95234eae7dc8ed15637f
 700              #17  Fix memory leak on parser error for unbound XML attribute
 701                     prefix with new namespaces defined in the same tag;
 702                     found by Google's OSS-Fuzz; commits
 703                     * 16f87daae5a16132e479e4f71862128c7a915c73
 704                     * b47dbc9745932c160893d433220e462bd605f8cd
 705                   xmlwf on Windows: Add missing calls to CloseHandle
 706
 707         New features:
 708              #30  Introduced environment switch EXPAT_ENTROPY_DEBUG=1
 709                     for runtime debugging of entropy extraction
 710
 711         Other changes:
 712                   Increase code coverage
 713              #33  Reject use of XML_UNICODE_WCHAR_T with sizeof(wchar_t) != 2;
 714                     XML_UNICODE_WCHAR_T was never meant to be used outside
 715                     of Windows; 4-byte wchar_t is common on Linux
 716    (SF.net) #538  Start using -fno-strict-aliasing
 717    (SF.net) #540  Support compilation against cloudlibc of CloudABI
 718                   Allow MinGW cross-compilation
 719    (SF.net) #534  CMake: Introduce option "BUILD_doc" (enabled by default)
 720                     to bypass compilation of the xmlwf.1 man page
 721    (SF.net)  pr2  CMake: Introduce option "INSTALL" (enabled by default)
 722                     to bypass installation of expat files
 723                   CMake: Fix ninja support
 724                   Autotools: Add parameters --enable-xml-context [COUNT]
 725                     and --disable-xml-context; default of context of 1024
 726                     bytes enabled unchanged
 727              #14  Drop AmigaOS 4.x code and includes
 728              #14  Drop ancient build systems:
 729                     * Borland C++ Builder
 730                     * OpenVMS
 731                     * Open Watcom
 732                     * Visual Studio 6.0
 733                     * Pre-X Mac OS (MPW Makefile)
 734                     If you happen to rely on some of these, please get in
 735                     touch for joining with maintenance.
 736              #10  Move from WIN32 to _WIN32
 737              #13  Fix "make run-xmltest" order instability
 738                   Address compile warnings
 739                   Bump version info from 7:2:6 to 7:3:6
 740                   Add AUTHORS file
 741
 742         Infrastructure:
 743               #1  Migrate from SourceForge to GitHub (except downloads):
 744                     https://github.com/libexpat/
 745               #1  Re-create http://libexpat.org/ project website
 746                   Start utilizing Travis CI
 747
 748         Special thanks to:
 749             Andy Wang
 750             Don Lewis
 751             Ed Schouten
 752             Karl Waclawek
 753             Pascal Cuoq
 754             Rhodri James
 755             Sergei Nikulov
 756             Tobias Taschner
 757             Viktor Szakats
 758                  and
 759             Core Infrastructure Initiative
 760             Mozilla Foundation (MOSS Track 3: Secure Open Source)
 761             Radically Open Security
 762
 763 Release 2.2.0 Tue June 21 2016
 764         Security fixes:
 765             #537  CVE-2016-0718 -- Fix crash on malformed input
 766                   CVE-2016-4472 -- Improve insufficient fix to CVE-2015-1283 /
 767                                    CVE-2015-2716 introduced with Expat 2.1.1
 768             #499  CVE-2016-5300 -- Use more entropy for hash initialization
 769                                    than the original fix to CVE-2012-0876
 770             #519  CVE-2012-6702 -- Resolve troublesome internal call to srand
 771                                    that was introduced with Expat 2.1.0
 772                                    when addressing CVE-2012-0876 (issue #496)
 773
 774         Bug fixes:
 775                   Fix uninitialized reads of size 1
 776                     (e.g. in little2_updatePosition)
 777                   Fix detection of UTF-8 character boundaries
 778
 779         Other changes:
 780             #532  Fix compilation for Visual Studio 2010 (keyword "C99")
 781                   Autotools: Resolve use of "$<" to better support bmake
 782                   Autotools: Add QA script "qa.sh" (and make target "qa")
 783                   Autotools: Respect CXXFLAGS if given
 784                   Autotools: Fix "make run-xmltest"
 785                   Autotools: Have "make run-xmltest" check for expected output
 786              p90  CMake: Fix static build (BUILD_shared=OFF) on Windows
 787             #536  CMake: Add soversion, support -DNO_SONAME=yes to bypass
 788             #323  CMake: Add suffix "d" to differentiate debug from release
 789                   CMake: Define WIN32 with CMake on Windows
 790                   Annotate memory allocators for GCC
 791                   Address all currently known compile warnings
 792                   Make sure that API symbols remain visible despite
 793                     -fvisibility=hidden
 794                   Remove executable flag from source files
 795                   Resolve COMPILED_FROM_DSP in favor of WIN32
 796
 797         Special thanks to:
 798             Björn Lindahl
 799             Christian Heimes
 800             Cristian Rodríguez
 801             Daniel Krügler
 802             Gustavo Grieco
 803             Karl Waclawek
 804             László Böszörményi
 805             Marco Grassi
 806             Pascal Cuoq
 807             Sergei Nikulov
 808             Thomas Beutlich
 809             Warren Young
 810             Yann Droneaud
 811
 812 Release 2.1.1 Sat March 12 2016
 813         Security fixes:
 814             #582: CVE-2015-1283 - Multiple integer overflows in XML_GetBuffer
 815
 816         Bug fixes:
 817             #502: Fix potential null pointer dereference
 818             #520: Symbol XML_SetHashSalt was not exported
 819             Output of "xmlwf -h" was incomplete
 820
 821         Other changes:
 822             #503: Document behavior of calling XML_SetHashSalt with salt 0
 823             Minor improvements to man page xmlwf(1)
 824             Improvements to the experimental CMake build system
 825             libtool now invoked with --verbose
 826
 827 Release 2.1.0 Sat March 24 2012
 828         - Security fixes:
 829           #2958794: CVE-2012-1148 - Memory leak in poolGrow.
 830           #2895533: CVE-2012-1147 - Resource leak in readfilemap.c.
 831           #3496608: CVE-2012-0876 - Hash DOS attack.
 832           #2894085: CVE-2009-3560 - Buffer over-read and crash in big2_toUtf8().
 833           #1990430: CVE-2009-3720 - Parser crash with special UTF-8 sequences.
 834         - Bug Fixes:
 835           #1742315: Harmful XML_ParserCreateNS suggestion.
 836           #1785430: Expat build fails on linux-amd64 with gcc version>=4.1 -O3.
 837           #1983953, 2517952, 2517962, 2649838:
 838                 Build modifications using autoreconf instead of buildconf.sh.
 839           #2815947, #2884086: OBJEXT and EXEEXT support while building.
 840           #2517938: xmlwf should return non-zero exit status if not well-formed.
 841           #2517946: Wrong statement about XMLDecl in xmlwf.1 and xmlwf.sgml.
 842           #2855609: Dangling positionPtr after error.
 843           #2990652: CMake support.
 844           #3010819: UNEXPECTED_STATE with a trailing "%" in entity value.
 845           #3206497: Uninitialized memory returned from XML_Parse.
 846           #3287849: make check fails on mingw-w64.
 847         - Patches:
 848           #1749198: pkg-config support.
 849           #3010222: Fix for bug #3010819.
 850           #3312568: CMake support.
 851           #3446384: Report byte offsets for attr names and values.
 852         - New Features / API changes:
 853           Added new API member XML_SetHashSalt() that allows setting an initial
 854                 value (salt) for hash calculations. This is part of the fix for
 855                 bug #3496608 to randomize hash parameters.
 856           When compiled with XML_ATTR_INFO defined, adds new API member
 857                 XML_GetAttributeInfo() that allows retrieving the byte
 858                 offsets for attribute names and values (patch #3446384).
 859           Added CMake build system.
 860                 See bug #2990652 and patch #3312568.
 861           Added run-benchmark target to Makefile.in - relies on testdata module
 862                 present in the same relative location as in the repository.
 863
 864 Release 2.0.1 Tue June 5 2007
 865         - Fixed bugs #1515266, #1515600: The character data handler's calling
 866           of XML_StopParser() was not handled properly; if the parser was
 867           stopped and the handler set to NULL, the parser would segfault.
 868         - Fixed bug #1690883: Expat failed on EBCDIC systems as it assumed
 869           some character constants to be ASCII encoded.
 870         - Minor cleanups of the test harness.
 871         - Fixed xmlwf bug #1513566: "out of memory" error on file size zero.
 872         - Fixed outline.c bug #1543233: missing a final XML_ParserFree() call.
 873         - Fixes and improvements for Windows platform:
 874           bugs #1409451, #1476160, #1548182, #1602769, #1717322.
 875         - Build fixes for various platforms:
 876           HP-UX, Tru64, Solaris 9: patch #1437840, bug #1196180.
 877           All Unix: #1554618 (refreshed config.sub/config.guess).
 878                     #1490371, #1613457: support both, DESTDIR and INSTALL_ROOT,
 879                     without relying on GNU-Make specific features.
 880           #1647805: Patched configure.in to work better with Intel compiler.
 881         - Fixes to Makefile.in to have make check work correctly:
 882           bugs #1408143, #1535603, #1536684.
 883         - Added Open Watcom support: patch #1523242.
 884
 885 Release 2.0.0 Wed Jan 11 2006
 886         - We no longer use the "check" library for C unit testing; we
 887           always use the (partial) internal implementation of the API.
 888         - Report XML_NS setting via XML_GetFeatureList().
 889         - Fixed headers for use from C++.
 890         - XML_GetCurrentLineNumber() and  XML_GetCurrentColumnNumber()
 891           now return unsigned integers.
 892         - Added XML_LARGE_SIZE switch to enable 64-bit integers for
 893           byte indexes and line/column numbers.
 894         - Updated to use libtool 1.5.22 (the most recent).
 895         - Added support for AmigaOS.
 896         - Some mostly minor bug fixes. SF issues include: #1006708,
 897           #1021776, #1023646, #1114960, #1156398, #1221160, #1271642.
 898
 899 Release 1.95.8 Fri Jul 23 2004
 900         - Major new feature: suspend/resume.  Handlers can now request
 901           that a parse be suspended for later resumption or aborted
 902           altogether.  See "Temporarily Stopping Parsing" in the
 903           documentation for more details.
 904         - Some mostly minor bug fixes, but compilation should no
 905           longer generate warnings on most platforms.  SF issues
 906           include: #827319, #840173, #846309, #888329, #896188, #923913,
 907           #928113, #961698, #985192.
 908
 909 Release 1.95.7 Mon Oct 20 2003
 910         - Fixed enum XML_Status issue (reported on SourceForge many
 911           times), so compilers that are properly picky will be happy.
 912         - Introduced an XMLCALL macro to control the calling
 913           convention used by the Expat API; this macro should be used
 914           to annotate prototypes and definitions of callback
 915           implementations in code compiled with a calling convention
 916           other than the default convention for the host platform.
 917         - Improved ability to build without the configure-generated
 918           expat_config.h header.  This is useful for applications
 919           which embed Expat rather than linking in the library.
 920         - Fixed a variety of bugs: see SF issues #458907, #609603,
 921           #676844, #679754, #692878, #692964, #695401, #699323, #699487,
 922           #820946.
 923         - Improved hash table lookups.
 924         - Added more regression tests and improved documentation.
 925
 926 Release 1.95.6 Tue Jan 28 2003
 927         - Added XML_FreeContentModel().
 928         - Added XML_MemMalloc(), XML_MemRealloc(), XML_MemFree().
 929         - Fixed a variety of bugs: see SF issues #615606, #616863,
 930           #618199, #653180, #673791.
 931         - Enhanced the regression test suite.
 932         - Man page improvements: includes SF issue #632146.
 933
 934 Release 1.95.5 Fri Sep 6 2002
 935         - Added XML_UseForeignDTD() for improved SAX2 support.
 936         - Added XML_GetFeatureList().
 937         - Defined XML_Bool type and the values XML_TRUE and XML_FALSE.
 938         - Use an incomplete struct instead of a void* for the parser
 939           (may not retain).
 940         - Fixed UTF-8 decoding bug that caused legal UTF-8 to be rejected.
 941         - Finally fixed bug where default handler would report DTD
 942           events that were already handled by another handler.
 943           Initial patch contributed by Darryl Miles.
 944         - Removed unnecessary DllMain() function that caused static
 945           linking into a DLL to be difficult.
 946         - Added VC++ projects for building static libraries.
 947         - Reduced line-length for all source code and headers to be
 948           no longer than 80 characters, to help with AS/400 support.
 949         - Reduced memory copying during parsing (SF patch #600964).
 950         - Fixed a variety of bugs: see SF issues #580793, #434664,
 951           #483514, #580503, #581069, #584041, #584183, #584832, #585537,
 952           #596555, #596678, #598352, #598944, #599715, #600479, #600971.
 953
 954 Release 1.95.4 Fri Jul 12 2002
 955         - Added support for VMS, contributed by Craig Berry.  See
 956           vms/README.vms for more information.
 957         - Added Mac OS (classic) support, with a makefile for MPW,
 958           contributed by Thomas Wegner and Daryle Walker.
 959         - Added Borland C++ Builder 5 / BCC 5.5 support, contributed
 960           by Patrick McConnell (SF patch #538032).
 961         - Fixed a variety of bugs: see SF issues #441449, #563184,
 962           #564342, #566334, #566901, #569461, #570263, #575168, #579196.
 963         - Made skippedEntityHandler conform to SAX2 (see source comment)
 964         - Re-implemented WFC: Entity Declared from XML 1.0 spec and
 965           added a new error "entity declared in parameter entity":
 966           see SF bug report #569461 and SF patch #578161
 967         - Re-implemented section 5.1 from XML 1.0 spec:
 968           see SF bug report #570263 and SF patch #578161
 969
 970 Release 1.95.3 Mon Jun 3 2002
 971         - Added a project to the MSVC workspace to create a wchar_t
 972           version of the library; the DLLs are named libexpatw.dll.
 973         - Changed the name of the Windows DLLs from expat.dll to
 974           libexpat.dll; this fixes SF bug #432456.
 975         - Added the XML_ParserReset() API function.
 976         - Fixed XML_SetReturnNSTriplet() to work for element names.
 977         - Made the XML_UNICODE builds usable (thanks, Karl!).
 978         - Allow xmlwf to read from standard input.
 979         - Install a man page for xmlwf on Unix systems.
 980         - Fixed many bugs; see SF bug reports #231864, #461380, #464837,
 981           #466885, #469226, #477667, #484419, #487840, #494749, #496505,
 982           #547350.  Other bugs which we can't test as easily may also
 983           have been fixed, especially in the area of build support.
 984
 985 Release 1.95.2 Fri Jul 27 2001
 986         - More changes to make MSVC happy with the build; add a single
 987           workspace to support both the library and xmlwf application.
 988         - Added a Windows installer for Windows users; includes
 989           xmlwf.exe.
 990         - Added compile-time constants that can be used to determine the
 991           Expat version
 992         - Removed a lot of GNU-specific dependencies to aide portability
 993           among the various Unix flavors.
 994         - Fix the UTF-8 BOM bug.
 995         - Cleaned up warning messages for several compilers.
 996         - Added the -Wall, -Wstrict-prototypes options for GCC.
 997
 998 Release 1.95.1 Sun Oct 22 15:11:36 EDT 2000
 999         - Changes to get expat to build under Microsoft compiler
1000         - Removed all aborts and instead return an UNEXPECTED_STATE error.
1001         - Fixed a bug where a stray '%' in an entity value would cause an
1002           abort.
1003         - Defined XML_SetEndNamespaceDeclHandler. Thanks to Darryl Miles for
1004           finding this oversight.
1005         - Changed default patterns in lib/Makefile.in to fit non-GNU makes
1006           Thanks to robin@unrated.net for reporting and providing an
1007           account to test on.
1008         - The reference had the wrong label for XML_SetStartNamespaceDecl.
1009           Reported by an anonymous user.
1010
1011 Release 1.95.0 Fri Sep 29 2000
1012         - XML_ParserCreate_MM
1013                 Allows you to set a memory management suite to replace the
1014                 standard malloc,realloc, and free.
1015         - XML_SetReturnNSTriplet
1016                 If you turn this feature on when namespace processing is in
1017                 effect, then qualified, prefixed element and attribute names
1018                 are returned as "uri|name|prefix" where '|' is whatever
1019                 separator character is used in namespace processing.
1020         - Merged in features from perl-expat
1021                 o XML_SetElementDeclHandler
1022                 o XML_SetAttlistDeclHandler
1023                 o XML_SetXmlDeclHandler
1024                 o XML_SetEntityDeclHandler
1025                 o StartDoctypeDeclHandler takes 3 additional parameters:
1026                         sysid, pubid, has_internal_subset
1027                 o Many paired handler setters (like XML_SetElementHandler)
1028                   now have corresponding individual handler setters
1029                 o XML_GetInputContext for getting the input context of
1030                   the current parse position.
1031         - Added reference material
1032         - Packaged into a distribution that builds a sharable library