libexpat — быстрый потоковый XML-парсер. Наряду с libxml2, Expat входит в число самых широко используемых свободных библиотек для парсинга XML, написанных на C (точнее, C99). Библиотека кроссплатформенна и распространяется по лицензии MIT.

С 1 августа 2026 года «отпуск по безопасности» проекта, о котором рассказывалось в соответствующем issue на GitHub, закончился — и теперь работа над поддержкой libexpat будет оплачиваться на протяжении до 6 месяцев. Финансирование предоставил Мюнхен в рамках программы Open Source Sabbatical.

Себастьян Пиппинг, поддерживающий libexpat, пояснил, что значит это решение на практике. На протяжении большей части последних 10 лет работа над библиотекой конкурировала с основной занятостью в качестве инженера-программиста, повседневными делами, социальной жизнью и отдыхом. Впервые появилась возможность заниматься поддержкой libexpat как «основной работой» на ограниченный период времени. В список приоритетов вошли:

Большая часть времени за последние два дня ушла на устранение уязвимости, обнаруженной Mozilla.

Формально работа теперь оформлена через компанию digitial@M — на срок до 6 месяцев, по стандартному трудовому договору с возможностью расторжения любой из сторон, удалённо из дома. Задач впереди достаточно.

Непроверенные предложения, сгенерированные AI, по-прежнему не приветствуются, но во всём остальном: если у вас есть желание бросить силы на поиск дальнейших уязвимостей в libexpat и отправить их мне, ближайшие месяцы — лучший шанс получить исправления в разумные сроки. Теория массового обслуживания и законы физики всё же продолжают действовать.

PS: если кому-то удалось сочетать MinGW на основе Clang с AddressSanitizer и Wine без падения при запуске, просьба поделиться решением и написать на почту.