Remove timestamps from "phar".

Thanks to Jelle van der Waa!

https://gist.github.com/jelly/96847934239aac19c512c54ca65d6baa

Gbp-Pq: Name 0041-Remove-timestamps-from-phar.patch

scripts/php*.in: Explicitly define the path to sed.

The full path is detected by configure, resulting in a different build
depending on if it is built on a usrmerge or non-usrmerge system.

Since usrmerge systems contain compatibility symlinks for the
non-usrmerge paths, use the non-usrmerge path which is compatible in
both systems.

https://tests.reproducible-builds.org/debian/issues/bookworm/paths_vary_due_to_usrmerge_issue.html

Gbp-Pq: Name 0040-scripts-php-.in-Explicitly-define-the-path-to-sed.patch

ax_gcc_func_attribute: Revise the detection of unknown attributes

GCC outputs a warning when Wstrict-prototypes is on, in such case the
attribute detection always fails even if the attribute is actually
supported. This change checks for the "-Wattributes" warning in
conftest.err instead of the existence of the file.

Bug-Ubuntu: https://bugs.launchpad.net/ubuntu/+source/php8.1/+bug/1882279
Forwarded: https://github.com/php/php-src/pull/8483
Origin: http://git.savannah.gnu.org/gitweb/?p=autoconf-archive.git;a=commitdiff;h=df0894ad1a8195df67a52108b931e07d708cec9a
Last-Update: 2022-05-02

Gbp-Pq: Name 0039-Update-gcc-func-attr-macro.patch

Override result of AC_PROG_LN_S to fix FTBFS on ppc64el

Gbp-Pq: Name 0038-Override-result-of-AC_PROG_LN_S-to-fix-FTBFS-on-ppc6.patch

Lower the OpenSSL requirement to 1.0.1

Gbp-Pq: Name 0037-Lower-the-OpenSSL-requirement-to-1.0.1.patch

Don't close the credits buffer file descriptor too early

Gbp-Pq: Name 0036-Don-t-close-the-credits-buffer-file-descriptor-too-e.patch

Allow printing credits buffer larger than 4k

Gbp-Pq: Name 0035-Allow-printing-credits-buffer-larger-than-4k.patch

Show packaging credits

Gbp-Pq: Name 0034-Show-packaging-credits.patch

In phpize, also copy config.guess, config.sub, ltmain.sh and shtool from their respective packages

Gbp-Pq: Name 0033-In-phpize-also-copy-config.guess-config.sub-ltmain.s.patch

Include all libtool files from phpize.m4

Gbp-Pq: Name 0032-Include-all-libtool-files-from-phpize.m4.patch

libtool2.2

Gbp-Pq: Name 0031-libtool2.2.patch

Add patch to install php7 module directly to APXS_LIBEXEC

Gbp-Pq: Name 0030-Add-patch-to-install-php7-module-directly-to-APXS_LI.patch

Fix ext/date/lib/parse_tz PATH_MAX HURD FTBFS

Gbp-Pq: Name 0029-Fix-ext-date-lib-parse_tz-PATH_MAX-HURD-FTBFS.patch

Really expand $libdir/$datadir into @EXPANDED_LIBDIR/DATADIR@

Gbp-Pq: Name 0028-Really-expand-libdir-datadir-into-EXPANDED_LIBDIR-DA.patch

Don't put $(INSTALL_ROOT) into phar.phar exec stanza

Gbp-Pq: Name 0027-Don-t-put-INSTALL_ROOT-into-phar.phar-exec-stanza.patch

hack-phpdbg-to-explicitly-link-with-libedit

Gbp-Pq: Name 0026-hack-phpdbg-to-explicitly-link-with-libedit.patch

php-5.6.0-oldpcre

Gbp-Pq: Name 0025-php-5.6.0-oldpcre.patch

php-5.6.0-noNO

Gbp-Pq: Name 0024-php-5.6.0-noNO.patch

php-5.4.9-fixheader

Make generated php_config.h constant across rebuilds.

Gbp-Pq: Name 0023-php-5.4.9-fixheader.patch

php-5.4.8-ldap_r

Use -lldap_r by default.

Gbp-Pq: Name 0022-php-5.4.8-ldap_r.patch

php-fpm-do-reload-on-SIGHUP

Gbp-Pq: Name 0021-php-fpm-do-reload-on-SIGHUP.patch

Use system timezone

Upstream don't want this patch. See
http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=730771 for a summary.

This delta is recovered from previous versions of the system timezone patch in
Debian, and appears to have inadvertently been dropped. Author unknown.

To be used in tandem with use_embedded_timezonedb.patch and use_embedded_timezonedb_fixes.patch.

Gbp-Pq: Name 0020-Use-system-timezone.patch

expose_all_built_and_installed_apis

Gbp-Pq: Name 0019-expose_all_built_and_installed_apis.patch

php-fpm-m68k

Gbp-Pq: Name 0018-php-fpm-m68k.patch

php-5.2.4-embed

Gbp-Pq: Name 0017-php-5.2.4-embed.patch

php-5.3.3-macropen

Gbp-Pq: Name 0016-php-5.3.3-macropen.patch

hurd-noptrace

Gbp-Pq: Name 0015-hurd-noptrace.patch

temporary-path-fixes-for-multiarch

Gbp-Pq: Name 0014-temporary-path-fixes-for-multiarch.patch

lp564920-fix-big-files

Gbp-Pq: Name 0013-lp564920-fix-big-files.patch

php-fpm-sysconfdir

Gbp-Pq: Name 0012-php-fpm-sysconfdir.patch

fpm-config

Gbp-Pq: Name 0011-fpm-config.patch

php-fpm-man-section-and-cleanup

Gbp-Pq: Name 0010-php-fpm-man-section-and-cleanup.patch

session_save_path

Gbp-Pq: Name 0009-session_save_path.patch

qdbm-is-usr_include_qdbm

Gbp-Pq: Name 0008-qdbm-is-usr_include_qdbm.patch

strcmp_null-OnUpdateErrorLog

Gbp-Pq: Name 0007-strcmp_null-OnUpdateErrorLog.patch

Add-support-for-use-of-the-system-timezone-database

# License: MIT
# http://opensource.org/licenses/MIT

# License: MIT
# http://opensource.org/licenses/MIT

Add support for use of the system timezone database, rather
than embedding a copy.  Discussed upstream but was not desired.

History:
r21: adapt for timelib 2021.03 (in 8.1.0)
r20: adapt for timelib 2020.03 (in 8.0.10RC1)
r19: adapt for timelib 2020.02 (in 8.0.0beta2)
r18: adapt for autotool change in 7.3.3RC1
r17: adapt for timelib 2018.01 (in 7.3.2RC1)
r16: adapt for timelib 2017.06 (in 7.2.3RC1)
r15: adapt for timelib 2017.05beta7 (in 7.2.0RC1)
r14: improve check for valid tz file
r13: adapt for upstream changes to use PHP allocator
r12: adapt for upstream changes for new zic
r11: use canonical names to avoid more case sensitivity issues
     round lat/long from zone.tab towards zero per builtin db
r10: make timezone case insensitive
r9: fix another compile error without --with-system-tzdata configured (Michael Heimpold)
r8: fix compile error without --with-system-tzdata configured
r7: improve check for valid timezone id to exclude directories
r6: fix fd leak in r5, fix country code/BC flag use in
    timezone_identifiers_list() using system db,
    fix use of PECL timezonedb to override system db,
r5: reverts addition of "System/Localtime" fake tzname.
    updated for 5.3.0, parses zone.tab to pick up mapping between
    timezone name, country code and long/lat coords
r4: added "System/Localtime" tzname which uses /etc/localtime
r3: fix a crash if /usr/share/zoneinfo doesn't exist (Raphael Geissert)
r2: add filesystem trawl to set up name alias index
r1: initial revision

Gbp-Pq: Name 0006-Add-support-for-use-of-the-system-timezone-database.patch

php.ini_securitynotes

Gbp-Pq: Name 0005-php.ini_securitynotes.patch

extension_api

Gbp-Pq: Name 0004-extension_api.patch

php-5.4.9-phpinfo

Drop "Configure Command" from phpinfo as it doesn't
provide any useful information.
The available extensions are not related to this command.

Gbp-Pq: Name 0003-php-5.4.9-phpinfo.patch

debian_quirks

Gbp-Pq: Name 0002-debian_quirks.patch

libtool_fixes

Gbp-Pq: Name 0001-libtool_fixes.patch

php8.4 (8.4.21-1~deb13u1) trixie-security; urgency=high

  * New upstream version 8.4.21
   + [CVE-2026-7263]: Dom\XMLDocument::C14N() emits duplicate xmlns
     declarations after setAttributeNS()
   + [CVE-2026-29078, CVE-2026-29079]: Upgrade to lexbor v2.7.0
   + [CVE-2026-6735]: XSS within status endpoint
   + [CVE-2026-7259]: Null pointer dereference in php_mb_check_encoding()
     via mb_ereg_search_init()
   + [CVE-2026-6104]: Out-of-bounds access in mbfl_name2encoding_ex()
   + [CVE-2025-14179]: SQL injection via NUL bytes in quoted strings
   + [CVE-2026-6722]: Stale SOAP_GLOBAL(ref_map) pointer with Apache Map
   + [CVE-2026-7261]: Use-after-free after header parsing failure with
     SOAP_PERSISTENCE_SESSION
   + [CVE-2026-7262]: Broken Apache map value NULL check
   + [CVE-2026-7568]: Signed integer overflow of char array offset
   + [CVE-2026-7258]: Consistently pass unsigned char to ctype.h functions

[dgit import unpatched php8.4 8.4.21-1~deb13u1]

Import php8.4_8.4.21.orig.tar.xz

[dgit import orig php8.4_8.4.21.orig.tar.xz]

Import php8.4_8.4.21-1~deb13u1.debian.tar.xz

[dgit import tarball php8.4 8.4.21-1~deb13u1 php8.4_8.4.21-1~deb13u1.debian.tar.xz]