udpspeeder: drop libatomic dependency

The binary links nothing from libatomic on any architecture, so the
dependency is unnecessary.

Signed-off-by: Daniel Golle <redacted>

sysrepo: use ATOMIC64_DEPENDS

sysrepo-plugind imports 64-bit atomics from libatomic where the
compiler cannot inline them, but the CMake build links the library on
every architecture. ATOMIC64_DEPENDS restricts the dependency to the
targets that need it; --as-needed drops the unused library elsewhere.

Signed-off-by: Daniel Golle <redacted>

srt: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

ruby: use ATOMIC64_DEPENDS

The open-coded architecture list pulls libatomic onto ARMv6K and ARMv7
targets although they inline 64-bit atomics, and still names the
removed arc architecture. ATOMIC64_DEPENDS covers exactly the targets
that need it.

Signed-off-by: Daniel Golle <redacted>

rtorrent: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

python3: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

php8: drop libatomic dependency

PHP's configure script probes __atomic_exchange_1 as an external
function on riscv64, which only resolves against libatomic, and so
links the library although no binary references an atomic symbol.
The riscv64-only dependency and linker flag paper over that. Link
with --as-needed so the unused library is dropped and remove both;
mips and riscv64 builds import no atomic symbols.

Signed-off-by: Daniel Golle <redacted>

openal-soft: drop libatomic dependency

The CMake build links libatomic on targets without inline 64-bit
atomics, but libopenal imports no symbol from it. Link with --as-needed
so the unused library is dropped and remove the dependency.

Signed-off-by: Daniel Golle <redacted>

nfdump: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

netatalk: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

nanomq: use ATOMIC64_DEPENDS

The daemon imports 64-bit atomics from libatomic where the compiler
cannot inline them, but the CMake build links the library on every
architecture. ATOMIC64_DEPENDS restricts the dependency to the targets
that need it; --as-needed drops the unused library elsewhere.

Signed-off-by: Daniel Golle <redacted>

libopen62541: drop libatomic dependency

The library links nothing from libatomic on any architecture, so the
dependency is unnecessary.

Signed-off-by: Daniel Golle <redacted>

knot: drop libatomic dependency

None of the binaries links libatomic on any architecture, so the
dependency is unnecessary.

Signed-off-by: Daniel Golle <redacted>

gstreamer1: use ATOMIC64_DEPENDS

The open-coded architecture list pulls libatomic onto ARMv6K and ARMv7
targets although they inline 64-bit atomics. ATOMIC64_DEPENDS covers
exactly the targets that need it.

Signed-off-by: Daniel Golle <redacted>

gnutls: drop libatomic dependency

The libraries link nothing from libatomic on any architecture, so the
dependency is unnecessary.

Signed-off-by: Daniel Golle <redacted>

gnunet: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

bind: use ATOMIC64_DEPENDS

libatomic is only needed where the compiler does not inline 64-bit
atomics, but the package depends on it on every target.
ATOMIC64_DEPENDS restricts the dependency to those targets.

Signed-off-by: Daniel Golle <redacted>

ovpn-dco: update to 7.2.0.2026082800

Update to the latest version.

Signed-off-by: Qingfang Deng <redacted>

openvpn: update to 2.7.7

Update to the latest version.

Signed-off-by: Qingfang Deng <redacted>

ffmpeg: change PKG_MAINTAINER

 - removing Ted Hess as maintainer per request by himself
 - removing Ian Leonard as maintainer per request by himself
 - adding myself (Mirko Vogt) as maintainer
 - adding Daniel Golle as maintainer

Signed-off-by: Mirko Vogt <redacted>

ffmpeg: add V4L2 hardware decoding patches from LibreELEC

V4L2 Request API hwaccels for stateless decoders such as Allwinner
cedrus, exporting DRM_PRIME frames, and a V4L2 M2M deinterlace filter
driving mem2mem deinterlacers such as Allwinner's sun8i-di on DRM_PRIME
frames. The hwaccels introduce the v4l2-request and libudev configure
options.

Add the FFMPEG_V4L2_REQUEST option (pulls libdrm and libudev) to the
libffmpeg menu, keep both new configure options explicitly off in the
common block like the other autodetected ones, and re-add the
*_v4l2request hwaccels under manual component selection.

Patches:
  120-v4l2-request-01 to -13: carried over from LibreELEC
    (packages/multimedia/ffmpeg/patches/v4l2-request/0001-v4l2-request.patch
    as of LibreELEC commit 79de202a10), one file per patch of the series:
    01 avutil/hwcontext: Add hwdevice type for V4L2 Request API
       (Jonas Karlman)
    02 avutil/hwcontext_v4l2request: Probe for a capable media and
       video device (Jonas Karlman)
    03 avcodec: Add common V4L2 Request API code (Jonas Karlman)
    04 avcodec/v4l2request: Add common decode support for hwaccels
       (Jonas Karlman)
    05 avcodec: Add V4L2 Request API mpeg2 hwaccel (Jonas Karlman)
    06 avcodec/h264dec: add ref_pic_marking and pic_order_cnt bit_size
       to slice context (Boris Brezillon)
    07 avcodec: Add V4L2 Request API h264 hwaccel (Jernej Skrabec)
    08 avcodec: Add V4L2 Request API hevc hwaccel (Jernej Skrabec)
    09 avcodec: Add V4L2 Request API vp8 hwaccel (Boris Brezillon)
    10 avcodec: Add V4L2 Request API vp9 hwaccel (Boris Brezillon)
    11 avcodec: Add V4L2 Request API av1 hwaccel (Jonas Karlman)
    12 avutil/hwcontext_v4l2request: Add support for AFBC_16X16_SPLIT
       pix fmts (Jernej Skrabec)
    13 avutil/hwcontext_v4l2request: Add support for BROADCOM_SAND128
       pix fmts (Jonas Karlman)
    Co-developed by Alex Bee, Benjamin Gaignard and Ezequiel Garcia.
  140-vf-deinterlace-v4l2m2m: carried over from LibreELEC
    (packages/multimedia/ffmpeg/patches/vf-deinterlace-v4l2m2m/0001-vf-deinterlace-v4l2m2m.patch
    as of LibreELEC commit 9ef6c9c6f7; Jernej Skrabec): adds the
    deinterlace_v4l2m2m filter

Headers unchanged, hunks refreshed with quilt; the patched tree is
identical to the one LibreELEC's files produce.

LibreELEC's v4l2-drmprime patch (stateful M2M decoders) is not carried:
it needs a rebase for FFmpeg 9 which LibreELEC has not done either.

The V4L2 Request API series is under review upstream as:
https://code.ffmpeg.org/FFmpeg/FFmpeg/pulls/20847
The patches here are taken from LibreELEC, though,
as that's the set that Kodi is built and tested against,
incl. some platform specific fixes.

Signed-off-by: Mirko Vogt <redacted>

ffmpeg: add LibreELEC's Kodi compatibility patches

Patches:
  110-libdav1d-get-format: carried over from LibreELEC (Lukas Rusak):
    adds a get_format callback to the libdav1d decoder so Kodi's
    hardware-first, software-fallback decoder setup initialises
    multithreaded software decoding properly; without effect until the
    libdav1d option is enabled
  111-swscale-yuv2rgb-no-warning: carried over from LibreELEC
    (Christian Hewitt): removes the warning swscale logs on every
    context initialisation without an accelerated colourspace
    conversion

LibreELEC keeps both in one file
(packages/multimedia/ffmpeg/patches/libreelec/0001-libreelec.patch as
of LibreELEC commit 5d54b2dd82); they are split here so each keeps its
own header. Headers unchanged, hunks refreshed with quilt; the patched
tree is identical to the one LibreELEC's file produces.

Signed-off-by: Mirko Vogt <redacted>

ffmpeg: re-add libpostproc as a source plugin

Upstream dropped libpostproc in 8.0; Kodi still requires it.

The --enable/--disable-postproc option the patch re-introduces is set
explicitly: on together with GPL in libffmpeg, off in libffmpeg-mini.

Patches:
  100-postproc: carried over from LibreELEC (Matthias Reichl's rebase
    of Michael Niedermayer's libpostproc source plugin;
    packages/multimedia/ffmpeg/patches/postproc/0001-postproc.patch as
    of LibreELEC commit 5f03a122f8): re-adds libpostproc as a source
    plugin

Header unchanged, hunks refreshed with quilt; the patched tree is
identical to the one LibreELEC's file produces.

Signed-off-by: Mirko Vogt <redacted>

ffmpeg: update to 9.0.1

Rework the package while bumping from 6.1.4.

Variants: libffmpeg is the configurable build (menu "FFmpeg
configuration"; the defaults give a full-featured build), libffmpeg-mini
a fixed small decoder set for playback-only consumers; the two conflict.
The former -full, -custom and -audio-dec variants are folded into
libffmpeg: its menu carries the per-codec/format/protocol selection the
custom variant had, controlled by a "manual component selection"
option that is off by default. libffmpeg provides libffmpeg-full and
libffmpeg-audio-dec as transitional aliases for consumers not yet
updated. libffmpeg-mini no longer provides the libffmpeg virtual
package: its fixed set is too small for the in-tree consumers of that
name (mpd, minidlna), which need the default build; it is for consumers
that depend on it explicitly.

 * deterministic configure: --disable-autodetect plus an explicit
   --disable baseline for everything configure would pick up from the
   environment; each optional library/hwaccel is one config symbol
   driving both the conditional DEPENDS and the configure flag
 * menu: licence, size/speed, programs, hwaccels (libdrm, V4L2 M2M,
   VA-API), TLS backend (default mbedTLS, OpenWrt's default TLS
   library), external libraries, system libraries, component selection.
   Defaults follow what in-tree consumers need: libopus, LAME (shine
   on soft-float) and libx264 on; fdk-aac only for a nonfree, non-GPL
   build. The ALSA input device is dropped (no in-tree consumer).
   libdav1d (FFmpeg has no native software AV1 decoder) and VA-API are
   prepared but commented out until the dav1d and libva packages exist
   in the feeds.
 * BUILD_PATENTED: vvc (H.266) is added to the patented component lists
   next to h264, hevc and vc1; FFmpeg 9 builds its native VVC decoder,
   parser, muxer and demuxer by default and H.266 is licensed through
   the same patent pools as HEVC.

Build fixes for 9.0.1 are part of this commit; feature patches from
LibreELEC and the options they introduce follow in separate commits.

Patches:
  010-pkgconfig: kept unchanged: expresses libdir and includedir
    relative to ${prefix} in the generated .pc files
  020-libavcodec-fix-Wint-conversion-in-vulkan,
  030-avformat-file-guard-fd_dup-by-FD_PROTOCOL-or-PIPE_PR,
  040-vulkan_decode-fix-the-print-format-of-VkDeviceSize,
  050-avcodec-dct-Make-declarations-and-definitions-match,
  060-avutil-tx-fix-GCC-memset-warning,
  080-avcodec-pcm-bluray-dvd-Use-correct-pointer-types-on-,
  090-avcodec-tiff-Suppress-unused-variable-warnings,
  100-avcodec-tableprint_vlc-Unbreak-hardcoded-tables,
  120-avfilter-af_channelsplit-fix-mixed-declaration-and-c:
    dropped: merged upstream
  070-avformat-rawdec-guard-by-CONFIG_DATA_DEMUXER: dropped: only
    silenced an unused-function warning in builds without the data
    demuxer
  160-libavdevice-v4l2-libv4l2-posix-ioctl: new: libv4l2.h only
    declares v4l2_ioctl() with the POSIX "int request" signature when
    the consumer defines a feature macro first; FFmpeg detects that
    signature (HAVE_IOCTL_POSIX) but never tells the header, and GCC 14
    turns the resulting pointer-type mismatch into an error. Define
    both macro spellings (v4l-utils <= 1.30 and >= 1.32). Same approach
    as q66's posix-ioctl.patch in Chimera Linux, also carried by Alpine,
    which defines one of the two names per copy
  170-tls_mbedtls-build-without-version-module: new: OpenWrt's mbedtls
    package disables MBEDTLS_VERSION_C, so mbedtls_version_get_number()
    is not declared; fall back to the compile-time MBEDTLS_VERSION_NUMBER
  180-mips-cabac-no-mips16: re-added: restores the MIPS16 guard for the
    MIPS CABAC inline assembly from Rosen Penev's 030-h264-mips.patch
    (2020), dropped by the 6.1.2 update
  190-configure-hevcparse-select-hevc_sei: new: configure's hevcparse
    component does not select hevc_sei although hevc/parse.c needs it;
    without BUILD_PATENTED the HEVC decoder and parser that used to pull
    it in are off while the default-enabled dovi_split bitstream filter
    still needs hevcparse, leaving ff_hevc_decode_nal_sei undefined

The explicit GPL option and the explicit libdrm dependency follow
Daniel Golle's 7.1.4 update proposal of this package, which was superseded
by this PR/update.

Assisted-By: Claude Fable 5.1 <redacted>
Signed-off-by: Mirko Vogt <redacted>

rtorrent: stop discarding the target build flags

CONFIGURE_VARS is assigned rather than appended to, which discards the
default from package-defaults.mk: the cross compiler settings and the
CFLAGS, CXXFLAGS, CPPFLAGS and LDFLAGS the build system passes. The
client is configured with autoconf's own -g -O2 and built for the
toolchain's default architecture instead, without the target CPU flags,
the hardening flags and -ffile-prefix-map.

Fixes: 6d9d87166017 ("rtorrent: update to 0.15.3")
Signed-off-by: Daniel Golle <redacted>

libtorrent: stop discarding the target build flags

CONFIGURE_VARS is assigned rather than appended to, which discards the
default from package-defaults.mk: the cross compiler settings and the
CFLAGS, CXXFLAGS, CPPFLAGS and LDFLAGS the build system passes. The
library is configured with autoconf's own -g -O2 and built for the
toolchain's default architecture instead, without the target CPU flags,
the hardening flags and -ffile-prefix-map. On x86/geode that also costs
the 64-bit atomics: at the default -march=i486 the compiler cannot
inline them and emits __atomic_load_8 and __atomic_store_8 calls, so
every binary linking the static library needs libatomic.

Fixes: 13a058bed6c0 ("libtorrent: update to 0.15.3")
Signed-off-by: Daniel Golle <redacted>

zoneinfo: update to 2026d release

Package version and file hashes changed.

Signed-off-by: Vladimir Ulrich <redacted>

chrony: fix uci leapsecmode option

Fixes #30518.

Signed-off-by: Miroslav Lichvar <redacted>

umurmur: update to 0.5.0

Changelog: https://github.com/umurmur/umurmur/blob/master/CHANGELOG.md

Signed-off-by: Martin Johansson <redacted>

pulseaudio: detect intl and iconv through meson dependency objects

The build probes for dgettext and iconv_open with bare symbol checks,
which succeed against libc even when a standalone GNU libintl or
libiconv is on the include path. Their headers redirect the calls to
libintl_* and libiconv_* symbols, so the objects then need -lintl,
which the Makefile supplied through TARGET_LDFLAGS for every link,
and the standalone libiconv was bypassed through LIBICONV_PLUG.

Add the two patches from upstream merge request 877, which switch the
probes to meson's intl and iconv dependency objects. These compile a
test including the header, so they fall back to linking the library
exactly when the header requires it. With BUILD_NLS this links
libintl-full and libiconv-full where they are used; without it, the
libc implementations are used as before. The second patch makes the
libm link conditional in the same way. Drop the -lintl workaround.

Patches taken from merge request currently under review upstream:
https://gitlab.freedesktop.org/pulseaudio/pulseaudio/-/merge_requests/877

Signed-off-by: Mirko Vogt <redacted>

pulseaudio: switch to git snapshot

The last release, 17.0, dates from January 2024. Master has since
accumulated fixes not available in any release, among them the SAP
port byte order in module-rtp-recv, an out-of-bounds access in
stream_get_timing_info_callback, multichannel processing in
module-echo-cancel and several JSON UTF-8 handling fixes. Switch to
the current master head.

The snapshot tarball carries neither a .git directory nor the
.tarball-version file of a release tarball, so git-version-gen has no
source for the version string and meson would fail parsing the empty
result. Write .tarball-version in Build/Prepare from the last release
tag reachable from the snapshot plus the abbreviated commit, so the
library version and the libpulsecommon file name derive from 17.0 as
the build's own git describe would.

Keep PKG_VERSION at 17.0 instead of the date-derived default, so the
package version matches what the libraries and binaries report, the
CI version check finds it in the --version output, and a later switch
back to a release tarball still sorts as an upgrade. PKG_SOURCE_DATE
and PKG_SOURCE_VERSION identify the snapshot, and the repacked tarball
carries both in its name so that a later snapshot does not collide with
this one in the download directory and on the source mirror.

Upstream turned the doxygen and tests options into feature options;
pass disabled instead of false. Normalise the indentation of the last
three MESON_ARGS entries while touching them.

Signed-off-by: Mirko Vogt <redacted>

pulseaudio: split out libpulse client library

Move the PulseAudio client libraries into a separate libpulse package,
so a client can depend on just the client library instead of pulling
in the whole daemon. Upstream ships three libraries whose names do not
make the split obvious: libpulse and libpulse-simple are the client
API, libpulsecommon is a private library shared by client and server,
and libpulsecore is the server core used only by the daemon and its
modules. libpulse, libpulse-simple and libpulsecommon go into the new
package; libpulsecore, libpulsedsp and the module helper libraries stay
with pulseaudio-daemon, which now depends on libpulse. The iconv and
gettext users (pulse/utf8.c and pulsecore/i18n.c) are part of
libpulsecommon, so libpulse carries the ICONV_DEPENDS and INTL_DEPENDS
itself.

Enable D-Bus support in both variants, not just the avahi one. D-Bus
support adds the pa_dbus_* and rtkit helpers to libpulsecommon, which
the daemon and its modules link against and which now ships in
libpulse. Since a single libpulse package serves both variants, it has
to be built the same way in both, or the avahi daemon would end up with
a libpulsecommon lacking those symbols. Unconditional D-Bus support is
the simplest way to achieve that; the price is that pure clients now
pull in libdbus.

Two follow-on changes: the D-Bus policy file, previously installed by
the avahi variant only, is now installed by both daemon variants. The
daemon also declares its own libdbus dependency, independent of
libpulse, because libpulsecore links libdbus directly.

Signed-off-by: Mirko Vogt <redacted>

comrade: update to 0.2.2

Since 0.2.0 comrade uses 64-bit atomics and its CMake links libatomic
where the compiler cannot inline them; depend on it through
ATOMIC64_DEPENDS under the same condition.

Upstream changes:
https://github.com/dangowrt/comrade/compare/v0.1.17...v0.2.2

Signed-off-by: Daniel Golle <redacted>

prplmesh: add package

Add the prplMesh 6.0.1 EasyMesh controller and agent for stock OpenWrt.
The package keeps the installed hostapd/wpad stack and drives it over
the existing UCI, ubus, nl80211 and hostapd control sockets.

The hostapd control interface client is a small self-contained
implementation added by patch 120, so no hostapd source tree is
downloaded, bundled or duplicated at build time and the system hostapd
stays the only hostapd. Binaries install under /usr/libexec/prplmesh,
read-only data under /usr/share/prplmesh, shared libraries under
/usr/lib, configuration under /etc/config/prplmesh. Of the prplOS
helper scripts only prplmesh_utils.sh is installed: patch 161 teaches
its platform guard stock OpenWrt and the init's daily log roller
invokes it; the other helpers stay uninstalled. Its option parsing
needs util-linux getopt (the busybox applet is off by default), hence
the getopt dependency.
At build time prplMesh generates its IEEE 1905 / EasyMesh TLV classes
from YAML definitions with its own Python generator, hence the host
Python and PyYAML build dependencies.

Stock builds run without NBAPI, so the controller skips the
CurrentOperatingClassProfile data-model cleanup for radios without a
data model path, and legacy vendor diagnostic measurements default to
off while standard EasyMesh metrics stay enabled. The controller also
registers radios that appear only in Topology Responses: some stock
agents never run WSC onboarding for a band (Wi-Fi 7 units and their
6 GHz radio), and such radios, their BSSes and their clients stayed
invisible otherwise. Agents in turn import clients that are already
associated when the agent starts: patch 150 walks hostapd's
STA-FIRST/STA-NEXT list on the nl80211 AP and monitor HALs and
reconciles the result every 60 seconds, so stations that associated
while the agent was down appear without waiting for a reassociation,
and stale entries are disconnected only after a cleanly enumerated
sweep. The init preflights every binary the selected management mode
needs before registering any procd instance, and the example
credentials ship empty so an enabled but unconfigured service fails
validation loudly instead of deploying a published passphrase.
A test-version.sh verifies the installed version from the shipped
version file instead of probing daemons, and a test.sh checks the
shipped log levels and the roll-helper install.

Production log levels default to error, info, warning and fatal for
file and syslog output of both daemons. Log retention is enforced by
the upstream roll helper (its platform guard now accepts openwrt):
the init prunes previous-boot logs once per boot before the daemons
come up (a /var/run stamp keeps procd reload triggers, which re-enter
start_service with the daemons live, from re-rolling their logs) and
a procd-supervised roller repeats the roll daily; an image stripped
of the helper runs without rotation instead of refusing to start.
Link-metrics reporting no longer warns about wireless-capable radios
deliberately not used for backhaul.

An earlier revision of this integration, differing only in the wpa_ctrl
client origin and the install prefix, runs on OpenWrt 25.12.5
mediatek/mt7622 with two Ethernet-connected EasyMesh agents.

Ref: https://gitlab.com/prpl-foundation/prplmesh/prplMesh
Ref: https://gitlab.com/kreout/prpl-mesh-mercusys/-/merge_requests/1
Signed-off-by: Andrei Ovcharenko <redacted>

dnsproxy: update to 0.84.2

Update dnsproxy to upstream version 0.84.2.

Release notes:
- Updated Go to 1.26.8
- Fixed DoQ 0-RTT opcode handling

Signed-off-by: Tawhidul Islam <redacted>

hcxdumptool: pass TARGET_LDFLAGS and restore -std=gnu99

Command-line CFLAGS overrides upstream's CFLAGS += -std=gnu99.
Pass TARGET_LDFLAGS for OpenWrt PIE/RELRO, and keep -lpcap which that
override would otherwise drop.

Signed-off-by: Atanas Vladimirov <redacted>

hcxtools: pass TARGET_LDFLAGS and restore -std=gnu99

Command-line CFLAGS overrides upstream's CFLAGS += -std=gnu99.
Without TARGET_LDFLAGS the tools also skip OpenWrt PIE/RELRO link flags.

Signed-off-by: Atanas Vladimirov <redacted>

hcxtools: update to version 7.1.2

Match hcxdumptool 7.1.2.
Use the upstream Makefile instead of meson, whose version is still 6.3.2.
Add hcxpottool and drop unused libpcap.

Full changelog here:
https://raw.githubusercontent.com/ZerBea/hcxtools/refs/tags/7.1.2/changelog

Signed-off-by: Atanas Vladimirov <redacted>

hcxdumptool: build hcxdumptool target only

Leaving hcxnmealog out is intentional.
It is the GPS/wardriving helper that was split out of hcxdumptool in
6.3.5. It needs a GPS receiver (USB NMEA device such as /dev/ttyACM0,
or gpsd wrapping one) and is not used for the usual handshake/PMKID
capture on a stationary router.

Signed-off-by: Atanas Vladimirov <redacted>

hcxdumptool: drop unused libopenssl dependency

Nothing in 7.1.2 links OpenSSL and it was already unused in 6.3.4
as well.

Signed-off-by: Atanas Vladimirov <redacted>

hcxdumptool: update to version 7.1.2

Full changelog here:
https://raw.githubusercontent.com/ZerBea/hcxdumptool/refs/tags/7.1.2/changelog

Signed-off-by: Atanas Vladimirov <redacted>

podman: wire the podman bridges into dnsmasq and fw4

Ship a uci-defaults script that excepts the podman bridges from dnsmasq so
aardvark-dns can own the gateway :53, adds an fw4 zone forwarding the podman
subnets to wan, and reloads both so it also applies on a running system.

Signed-off-by: Daniel Golle <redacted>

podman: select the nftables firewall driver

Set firewall_driver = "nftables" in containers.conf so podman programs
networks through nft.

Signed-off-by: Daniel Golle <redacted>

netavark: build with the nftables firewall driver

OpenWrt has no iptables front end, so default to nftables and depend on
nftables-json and kmod-nft-nat, which the driver's nat chains need.

Signed-off-by: Daniel Golle <redacted>

tailscale: update to 1.102.3, disable the update feature

Closes #30424

Changelog: https://tailscale.com/changelog#2026-08-19
Signed-off-by: Sandro Jäckel <redacted>

unbound: update to 1.26.0

From upstream: 1.26.0 has a number of bug fixes, including a fix
for an error in log printout in fix for CVE-2026-50248, and
some features.

Full details at

https://github.com/NLnetLabs/unbound/releases/tag/release-1.26.0

Signed-off-by: Tyrel M. McQueen <redacted>

chrony: update to 4.9

Release notes: https://chrony-project.org/news.html#_27_aug_2026_chrony_4_9_released

Signed-off-by: Miroslav Lichvar <redacted>

openwisp-config: fetch release tarball instead of git clone

Switch source fetch from git clone to the upstream release tarball
published for every tag, as recommended by the feed guidelines.
This replaces PKG_MIRROR_HASH with a plain PKG_HASH of the
codeload tarball.

Co-authored-by: Federico Capoano <redacted>
Signed-off-by: Gagan Deep <redacted>

openwisp-config: upgrade to 1.3.0

Change log: https://github.com/openwisp/openwisp-config/releases/tag/1.3.0

Signed-off-by: Gagan Deep <redacted>

expat: update to 2.8.4

This version bump includes fixes for the following CVEs:
- CVE-2026-66046
- CVE-2026-72522
- CVE-2026-76641
- CVE-2026-76956
- CVE-2026-76957

Full release notes:
https://github.com/libexpat/libexpat/blob/master/expat/Changes

Signed-off-by: Wei-Ting Yang <redacted>

django-restframework: update to 3.18.1

Release notes:
https://github.com/encode/django-rest-framework/releases/tag/3.18.1

Signed-off-by: Wei-Ting Yang <redacted>

django: update to 6.1.1

Release notes:
https://docs.djangoproject.com/en/6.1/releases/6.1.1/

Signed-off-by: Wei-Ting Yang <redacted>

python-sqlparse: update to 0.6.0

Fix CVE-2026-54284, CVE-2026-59893, CVE-2026-59894, CVE-2026-71491, and
CVE-2026-84305.

Full release notes:
https://github.com/andialbrecht/sqlparse/blob/0.6.0/CHANGELOG

Signed-off-by: Wei-Ting Yang <redacted>

netbird: update to 0.78.1

Maintainer: Wesley Gimenes <redacted>

Changelog: https://github.com/netbirdio/netbird/compare/v0.73.2...v0.78.1

Compile tested: x86_64, OpenWrt packages master (Go 1.27)
Run tested: x86_64, OpenWrt 25.12.4 (Hyper-V VM)

Notable upstream changes:
- fix local privilege escalation via unauthenticated IPC socket
  (GHSA-qcpp-8vwj-hhwr), affects all versions < 0.76.0
- fix nftables route rule expression ordering
- fallback to per-IP ACL rules when ipset is unavailable
- client ICEBind / route / fwmark fixes (v0.78.0)
- Go 1.26 toolchain (compatible with OpenWrt golang 1.26/1.27)

Signed-off-by: Maksym Vasylchenko <redacted>

ripe-atlas: update to 5130

5130 removed --with-probe-type; generic is the default now, selected by
not passing --enable-hwprobe. Drop 001-uname.patch, upstream took the
`uname -n` change in 5120.

Also set LD back to busybox's "$(CC) -nostdlib": OpenWrt's MAKE_FLAGS
force the raw ld.bfd, which rejects the compiler-driver flags in
OpenWrt's LDFLAGS (-fuse-ld=, -specs=, -flto=) with "-f may not be used
without -shared".

Fixes: https://github.com/openwrt/packages/issues/30083
Signed-off-by: Alexandru Ardelean <redacted>

cryptsetup: update to 2.8.8

Stable bug-fix release. It avoids a TOCTOU issue in LUKS header restore
by opening the header file only once, hardens BITLK metadata validation
against crafted images, fixes an integer overflow in the anti-forensic
data size calculation on 32-bit systems and a memory corruption in
reencrypt init with more than 16 active LUKS2 keyslots or tokens, and
adds keyed discards to integritysetup (--allow-discards-keyed, Linux
7.3 or later).

Link: https://gitlab.com/cryptsetup/cryptsetup/-/blob/v2.8.8/docs/v2.8.8-ReleaseNotes
Signed-off-by: Daniel Golle <redacted>

cryptsetup: fix Argon2 with OpenSSL built without it

OpenWrt builds OpenSSL with no-blake2, which OpenSSL's Configure turns
into no-argon2 because Argon2 is built on BLAKE2b. The cryptsetup
configure script only looks for the OSSL_KDF_PARAM_ARGON2_VERSION macro,
which such a build still installs, so it drops the bundled Argon2 and
EVP_KDF_fetch() fails at runtime. Every LUKS2 keyslot using Argon2 then
fails instantly with "Keyslot open failed", and cryptsetup benchmark
reports argon2id as N/A. Add a patch that also checks OPENSSL_NO_ARGON2
so the bundled implementation is used again.

Fixes: fbac2e7861fb ("cryptsetup: update to 2.8.7")
Signed-off-by: Daniel Golle <redacted>

adblock: update 4.5.8-2

- refine the reload trigger call logic

Signed-off-by: Dirk Brenken <redacted>

banip: update 1.8.13-2

- cap the GeoIP lookup at 15 batch requests per report run (ip-api.com rate limit)
- reuse the map data for 60 seconds instead of querying the service again
- log batch requests without geo data
- limit the parallel background jobs exactly to `ban_cores (same as adblock)
- LuCI:  fix the GeoIP map description
- readme update

Signed-off-by: Dirk Brenken <redacted>

mdns-repeater: bump to 2026.07.16~488feaf7, simplify MAKE_FLAGS

Now that @BKPepe's change to not override CFLAGS is accepted upstream
(geekman/mdns-repeater#28), simplify the Makefile to only pass through
the version string (HGVERSION). All other flags now get forwarded by
default as expected.

Signed-off-by: Foster Snowhill <redacted>

nut: improve documentation

Include more inline comments to document the nut-server initscript and
usb hotplug.

Also trim an extraneous space in a comment.

Signed-off-by: Daniel F. Dickinson <redacted>

nut: fix setting RUNAS and STATEPATH in hotplug scripts

A previous PR missed updating the hotplug scripts for the
new find_runas and find_statepath functions which emit
the value on stdout instead of setting a variable in the
caller's scope. Update that usage and handle error conditions.

Also ensure we fully handle finding the group of the RUNAS user for
the serial usb hotplug case, and handle error conditions for that.

Signed-off-by: Daniel F. Dickinson <redacted>

nut: fix matching hotplugged device

The match against known device was badly formatted, and was
not being used as a result. Fix that.

Also, completely ignore events which are incomplete for our purposes
(that is, which are missing ACTION or DEVNAME).

Signed-off-by: Daniel F. Dickinson <redacted>

nut: prevent service thrashing on boot or hotplug

On boot, hotplug events were causing excessive start and stop action
for the upsd daemon and driver daemons. We fix that with two primary
actions:
  1. Don't restart service daemons on hotplug until after first boot
     has completed.
  2. Use more robust handling of procd instance starts by ensuring
     that the first start starts the nut-server service and all
     others add to the nut-server service (rather than replacing it).

Ignore hotplug events without a DEVNAME.

In addition clean up some logging.

In the process, this fixes #30375 "hotplugging for setting usb access
right[s] doesn't work anymore"

Closes: #30375
Signed-off-by: Daniel F. Dickinson <redacted>

nut: fix custom notification messages

Messages with spaces must be enclosed in double-quotes.

Signed-off-by: Daniel F. Dickinson <redacted>

nut: improve hotplug behaviour for remove

Short-circuit not applicable portions of hotplug script on remove, and
make sure we ignore events with incomplete information (no DEVNAME
or no ACTION).

Signed-off-by: Daniel F. Dickinson <redacted>

sing-box: bump to 1.14.0

Release: https://github.com/SagerNet/sing-box/releases/tag/v1.14.0

New optional features (disabled by default):
- with_cloudflared
- with_openvpn
- with_openconnect
- with_usbip

Snell protocol support is included by default
(see https://sing-box.sagernet.org/changelog/#1140).

Signed-off-by: Sergei S. <redacted>

mariadb: init - check file versions

mariadb-upgrade has had its own upgrade version file in the datadir,
called mysql_upgrade_info in <= 10.11 and mariadb_upgrade_info there
after.

The mariadb-install-db creates this file, and also the mariadb-upgrade
executable creates this file also.

This removes the need to maintain the .version info though this is used
as a last check of the upgrade.

Signed-off-by: Daniel Black <redacted>

openldap: update to 2.6.14

Changelog is available at: https://openldap.org/software/release/changes_lts.html

Reworked some patches with headers to comply with patches guidelines.

Signed-off-by: Romain Isnel <redacted>

ocserv: update to 1.5.0

switch to meson build system
disable sock-diag which is not enabled in openwrt kernel
drop the arm build workaround
disable tests via patch file

Signed-off-by: Jimmy Qin <redacted>

tvheadend: drop the handwritten version override

The handwritten debian/changelog is only used to override the version
reported by support/version, but it is unnecessary and causes a version
mismatch:

- Build/Prepare feeds the raw git hash into debian/changelog, so the
  binary reports ddb984f4c17f4a26fd34f3e1b24e3323f9641b75~openwrt1
  instead of the package version 2026.08.17~ddb984f4.
- The CI package test then fails because it cannot find the package
  version in the output of any installed executable.
- Without .git, debian/changelog or rpm/version, support/version falls
  back to the source directory name.
- OpenWrt already names the source directory tvheadend-$(PKG_VERSION),
  so the binary correctly reports 2026.08.17~ddb984f4 without any
  override.

Alpine uses rpm/version in the same way and does not encode its own
package release into the version either.

Signed-off-by: Josef Schlehofer <redacted>

tvheadend: require GNU libiconv and drop the iconv self-test patch

tvheadend has no transliteration of its own.  It asks iconv for
"<charset>//TRANSLIT//IGNORE", a GNU extension that musl does not
implement.  Converting "ŽluťoučkýKůň" to ASCII on mpc85xx/p2020
(Turris 1.x), musl 1.2.6:

    charset                   musl             GNU libiconv
    ASCII//TRANSLIT//IGNORE   EINVAL           "Zlutouck'yKun"
    ASCII//TRANSLIT           EINVAL           "Zlutouck'yKun"
    ASCII                     "*lu*ou*k*K**"   EILSEQ

050-iconv-test-continue.patch removed the abort() from the startup
self-test that reports this, so the package could be built against
musl's iconv.  That silenced the check without fixing anything:
intlconv_utf8() still returns -EIO, so cleanup_filename() in
src/dvr/dvr_rec.c cannot build a recording file name and
pvr_generate_filename() fails.  The charset cannot be avoided either,
because intlconv_filesystem_charset() returns "ASCII" unless $LANG
names a UTF-8 locale, which OpenWrt does not set by default.

Depend on libiconv-full instead of $(ICONV_DEPENDS), which pulls it in
only when BUILD_NLS is set, and point the compiler at its staging prefix
when nls.mk has not already done so.  The binary then links against
libiconv.so.2, the self-test passes and the patch can be dropped.

Signed-off-by: Josef Schlehofer <redacted>

tvheadend: update to 2026-08-17

Update to git master ddb984f4, 124 commits on from the previously
packaged 395afb85. Most of that is web UI work and translation updates,
with smaller fixes in the build system, mpegts and dvr code.

Signed-off-by: Josef Schlehofer <redacted>

umurmur: update to 0.4.1

Changelog since last package version (0.3.1) here: https://github.com/umurmur/umurmur/blob/master/CHANGELOG.md

Signed-off-by: Martin Johansson <redacted>

travelmate: update 2.4.9-2

- updatted the README and moved to the package root
- LuCI: fix blank pages on footstrap theme navigation

Signed-off-by: Dirk Brenken <redacted>

csshnpd: bump to c1.1.1 release

fixed srv segfault on connection teardown (pthread_join clobbered tid)
C daemon filters device atSign out of the manager atSign list
handle the case where the only manager atSign is the device atSign
sshnpd + srv code review findings (24 fixes: bounds checks, leak
fixes, error-path hardening, log hygiene)
bump atsdk to at_c v0.4.1 for the atauth/onboarding

Signed-off-by: Chris Swan <redacted>

xfrpc: update to 5.09.982

Update from 5.06.909 to 5.09.982.

Major improvements and highlights:
- Add frp transport.wireProtocol v2 support (JSON messages + AES-256-GCM AEAD)
- Support modern frp TOML configuration via tomlc17
- Support OIDC authentication with OAuth2 client_credentials flow
- AES-128-CFB wire encryption and Snappy compression support
- QUIC transport maturity with ngtcp2 <-> quic-go interop
- End-to-end security hardening (bounds check, TLS verification, buffer drains)
- Build fix for 32-bit architectures (widen plen to uint64_t before shift)
- Build fix for OpenWrt wolfSSL/OpenSSL dual-backend compatibility
- Remove deprecated IOD and FTP proxy types

Signed-off-by: Dengfeng Liu <redacted>

adblock: release 4.5.8-1

-the trigger calls start refresh, start_service() skips the run
  while adblock_status in the runtime file is anything but error
- a missing or unreadable runtime file still starts a run,
  which covers the boot case, and a failed run is retried on the next interface event
- manual start, boot, restart and reload are unaffected;
  a suspended or stopped adblock is no longer restarted by an interface event
- wan6 in adb_trigger is supported now
- updatted the README and moved to the package root
- LuCI: reworked the feed editor, get rid of custom css

Signed-off-by: Dirk Brenken <redacted>

dnsdist: update to 2.0.9

This commit updates the dnsdist package from 2.0.6 to 2.0.9,
fixing several issues including CVE-2026-42005, CVE-2026-40011,
CVE-2026-40211, CVE-2026-40210, CVE-2026-40209, CVE-2026-40208,
CVE-2026-42004 and CVE-2026-52682.

Signed-off-by: Remi Gacogne <redacted>

pdns: security update to 4.9.17

This commit updates the PowerDNS authoritative server to 4.9.17,
the latest release in the 4.9.x LTS branch.
This fixes several security issues, including but not limited to:
CVE-2026-33257, CVE-2026-33260, CVE-2026-33611, CVE-2026-33610,
CVE-2026-33609, CVE-2026-33608, CVE-2026-42002, CVE-2026-42001,
CVE-2026-42000, CVE-2026-41999, CVE-2026-42396, CVE-2026-42005,
CVE-2026-52682.

Signed-off-by: Remi Gacogne <redacted>

tcfilter: add package for persistent tc ingress filters

UCI front-end that installs raw "tc filter ... ingress" expressions on
network devices at boot and re-applies them on ifup, removing them on
stop. The match/action part is entered verbatim as tc syntax; the
package manages the device, the preference number, enable/disable and
persistence. A procd reload trigger re-applies on config changes.

Intended for driving hardware tc-flower offload (e.g. the Realtek DSA
PIE offload) where no higher-level configuration layer exists.

Co-authored-by: OpenWrt AI review account <redacted>
Assisted-by: Claude Code (Anthropic Claude Sonnet 5)
Signed-off-by: Mark Abe <redacted>

banip: release 1.8.13

- f_getup() collects the wan state in one pass and diffs the uplink against
  the local allowlist
- new f_refresh() patches only the changed allowlist Set elements
   in a single atomic nft transaction, without touching the running instance
- the procd trigger calls start refresh, start_service() picks the path, a manual start is unaffected
- wan6 in ban_trigger is supported now
- updatted the README and moved to the package root
- LuCI: reworked the feed editor, get rid of custom css

Signed-off-by: Dirk Brenken dev@brenken.org
Signed-off-by: Dirk Brenken <redacted>

fwupd: backport upstream support for MxL862xx switches

Backport two patches from upstream implementing devlink-based firmware
update support for the MaxLinear MxL862xx DSA switch family, found eg.
on the BananaPi R4 Pro (8E/4E).

Users can update the switch firmware using `fwupdmgr update`.

Signed-off-by: Daniel Golle <redacted>

shunt: readme update

- readme update regarding wg configuration,
- no version bump

Signed-off-by: Dirk Brenken <redacted>

luasql: update to 2.7.0

Refresh PKG_HASH from the tag tarball. Upstream moved from
keplerproject to lunarmodules and the 2.7.0 tag has no leading v;
point PKG_SOURCE_URL and the homepage URL at lunarmodules.

Signed-off-by: Alexandru Ardelean <redacted>

frp: update to 0.71.0

Refresh PKG_HASH from the upstream GitHub tag tarball.

Signed-off-by: Alexandru Ardelean <redacted>

git-lfs: update to 3.8.0

Refresh PKG_HASH from the git-lfs release tarball.

Signed-off-by: Alexandru Ardelean <redacted>

stress-ng: update to 0.22.00

Refresh PKG_HASH from the upstream GitHub tag tarball.

Signed-off-by: Alexandru Ardelean <redacted>

tcpreplay: update to 4.6.1

Refresh PKG_HASH from the appneta release tarball.

Signed-off-by: Alexandru Ardelean <redacted>

shunt: update to 0.1.6

- *Per-policy `action`, `route` (default) or `bypass` - the equivalent of pbr's `ignore`,
  an exception carved out of every policy below it.
- `keep_local`, default on - a marked packet to one of your own subnets
  stays on `main` instead of taking the policy's default route.
- The ruleset is re-applied when the table is deleted - e.g. with `/etc/init.d/firewall stop`
- README update

Signed-off-by: Dirk Brenken <redacted>
Co-authored-by: Claude <redacted>
Signed-off-by: Dirk Brenken <redacted>

travelmate: update 2.4.9-1

- do not set trm_action in the function library; the library is sourced by the init script,
  reported by @sch-m
- fixed the uplink ssid comparison for fancy essids with quotes
- added a new optional per uplink revive option; an uplink disabled by the retry limit is set back
  to enabled after n run cycles, default off, minimum 10, number of revivals capped by trm_maxretry.
  Counters live in a runtime file, no extra config writes
- update the wifibahn login script, support the new CNA portal API
- LuCI: rework the wireless scan dialog; card list instead of the result table, mobile friendly
- LuCI: add the per uplink revive option to the uplink dialog (off / 10 / 30 / 60 run cycles)
- readme update

Signed-off-by: Dirk Brenken <redacted>

curl: add krb5 support

Enable Kerberos authentication support in curl by including krb5-libs.
This allows curl to handle GSSAPI/Kerberos authentication protocols,
enhancing compatibility with enterprise environments.

The feature is disabled by default to avoid unnecessary dependencies.

Signed-off-by: Florian Eckert <redacted>

modemmanager: bump PKG_RELEASE

Update PKG_RELEASE by one.

Signed-off-by: Florian Eckert <redacted>

modemmanager: make command timeout configurable

Make the timeout for command execution configurable, as not all modems and
mobile networks behave in the same way.

Signed-off-by: Florian Eckert <redacted>

modemmanager: update logging messages

Remove the trailing '...' from the log messages to bring them into line
with the other log messages in this file.

Signed-off-by: Florian Eckert <redacted>

modemmanager: cleanup vars in proto_modemmanager_setup

Group variables into blocks to improve readability.

Signed-off-by: Florian Eckert <redacted>

ddns-scripts: update hotplug script

To handle ip address changing by ifupdate.
When the ipv6 address is updated for an interface
(some ISP only give dynamic ipv6 address).
The ddns script will go into dead loop,
as the new ipv6 address is not used.
The simple change is restarting ddns when ip address is changed.

Signed-off-by: Jimmy Qin <redacted>

ufp: bump PKG_RELEASE

Increment PKG_RELEASE to force a package rebuild following recent changes,
ensuring package indexes and builds reflect the update.

Signed-off-by: Christian Korber <redacted>

ufp: add dependency ucode-mod-rtnl

We need `ucode-mod-rtnl` as a dependency, because it is used in ufp.
This was forgotten in previous commits.

Signed-off-by: Christian Korber <redacted>

ufp: align dependencies

Move each package dependency onto its own line.
This makes future dependency additions, removals,
and code reviews much easier to track in diffs.

It also keeps the dependency line under 80 characters.

Signed-off-by: Christian Korber <redacted>