doc/news/version_3.20160506.mdwn

   1 News for ikiwiki 3.20160506:
   2
   3    To mitigate [[!cve CVE-2016-3714]] and similar ImageMagick security vulnerabilities,
   4    the `\[[!img]]` directive is now restricted to these common web formats by
   5    default:
   6
   7    * JPEG (`.jpg`, `.jpeg`)
   8    * PNG (`.png`)
   9    * GIF (`.gif`)
  10    * SVG (`.svg`)
  11
  12    (In particular, by default resizing PDF files is no longer allowed.)
  13
  14    Additionally, resized SVG files are displayed in the browser as SVG
  15    instead of being converted to PNG.
  16
  17    If all users who can attach images are fully trusted, this restriction
  18    can be removed with the new img\_allowed\_formats setup option.
  19    See [[ikiwiki/directive/img]] for more details.
  20
  21 ikiwiki 3.20160506 released with [[!toggle text="these changes"]]
  22 [[!toggleable text="""
  23  * [ [[Simon McVittie|smcv]] ]
  24    * HTML-escape error messages, in one case avoiding potential cross-site
  25      scripting ([[!cve CVE-2016-4561]], OVE-20160505-0012)
  26    * Mitigate ImageMagick vulnerabilities such as CVE-2016-3714:
  27      - img: force common Web formats to be interpreted according to extension,
  28        so that "allowed\_attachments: '*.jpg'" does what one might expect
  29      - img: restrict to JPEG, PNG and GIF images by default, again mitigating
  30        CVE-2016-3714 and similar vulnerabilities
  31      - img: check that the magic number matches what we would expect from
  32        the extension before giving common formats to ImageMagick
  33    * d/control: use https for Homepage
  34    * d/control: add Vcs-Browser
  35  * [ [[Joey Hess|joey]] ]
  36    * img: Add back support for SVG images, bypassing ImageMagick and
  37      simply passing the SVG through to the browser, which is supported by all
  38      commonly used browsers these days.
  39      SVG scaling by img directives has subtly changed; where before
  40      size=wxh would preserve aspect ratio, this cannot be done when passing
  41      them through and so specifying both a width and height can change
  42      the SVG's aspect ratio.
  43    * loginselector: When only openid and emailauth are enabled, but
  44      passwordauth is not, avoid showing a "Other" box which opens an
  45      empty form.
  46  * [ [[Amitai Schlair|schmonz]] ]
  47    * mdwn: Process .md like .mdwn, but disallow web creation.
  48  * [ Florian Wagner ]
  49    * git: Correctly handle filenames starting with a dash in add/rm/mv."""]]