Second try at 3.20120629.2+deb7u1

img test: exercise upper-case extensions for image files

Detect image type from .JPG just like .jpg (etc.).

3.20120629+deb7u1

debian/tests: add metadata to run the img test as an autopkgtest

Add t/img.t regression test also taken from version 3.20160506

(chrysn, joeyh, schmonz, smcv)

Update img plugin to version 3.20160506

* Update img plugin to version 3.20160506 to mitigate ImageMagick
  vulnerabilities, including remote code execution (CVE-2016-3714):
  - Never convert SVG images to PNG; simply pass them through to the
    browser. This prevents exploitation of any ImageMagick SVG coder
    vulnerabilities. (joeyh)
  - Do not resize image formats other than JPEG, PNG, GIF unless
    specifically configured to do so. This prevents exploitation
    of any vulnerabilities in less common coders, such as MVG. (smcv)
  - Do not resize JPEG, PNG, GIF, PDF images if their extensions do
    not match their "magic numbers", because wiki admins might try to
    restrict attachments by extension, but ImageMagick can base its
    choice of coder on the magic number. Explicitly force the
    obvious ImageMagick coder to be used. (smcv)
* Minor non-security changes resulting from that update, since
  reverting them seems higher-risk than keeping them:
  - Add PDF support, disabled by the above changes unless specifically
    configured (chrysn)
  - Only render one frame or page from animated GIF or multi-page PDF
    (chrysn)
  - Do not distort aspect ratio when resizing small images (chrysn)
  - Use data: URLs to embed images in page previews (chrysn)
  - Raise an error if the image's size cannot be determined (chrysn)
  - Handle filenames containing a colon correctly (smcv)

HTML-escape error messages (CVE-2016-4561)

The instance in cgierror() is a potential cross-site scripting attack,
because an attacker could conceivably cause some module to raise an
exception that includes attacker-supplied HTML in its message, for
example via a crafted filename. (OVE-20160505-0012, CVE-2016-4561)

The instances in preprocess() is just correctness. It is not a
cross-site scripting attack, because an attacker could equally well
write the desired HTML themselves; the sanitize hook is what
protects us from cross-site scripting here.

3.20120629.2

Fix XSS in openid selector. Thanks, Raghav Bisht.

Conflicts:
debian/changelog
doc/bugs/XSS_Alert...__33____33____33__.html

correct double-negative

wheezy release candidate

close debian bug I opened about blogspam

Conflicts:
debian/changelog

blogspam uses JSON instead of RPC::XML now.

Update blogspam to the 2.0 API.

[backport to Debian wheezy, open-coding a simple version of useragent() -smcv]

Conflicts:
IkiWiki/Plugin/blogspam.pm
debian/changelog

Set Debian package maintainer to Simon McVittie as I'm retiring from Debian.

Conflicts:
debian/changelog
debian/control

releasing version 3.20120629

cleanup

add signature

add

Question re: google search missing results

bug on trail plugin

Added a comment: Popup listing multiple entries per day

Contrib plugin created_in_future

Contrib plugin monthcalendar

Contrib plugin jscalendar : a javascript calendar

rename contrib/jscalendar.mdwn to plugins/contrib/jscalendar.mdwn

rename todo/Javascript_calendar.mdwn to contrib/jscalendar.mdwn

will put in in the forum, sry

This reverts commit f2b421b26b9ceb68b19a11140936537353da51de

comment removal question

created page: Can not advance past first page of results using search plugin

created user page

Merge branch 'master' of ssh://git.ikiwiki.info

mirrorlist: Add mirrorlist_use_cgi setting that avoids usedirs or other config differences by linking to the mirror's CGI. (intrigeri)

Merge remote-tracking branch 'intrigeri/mirrorlist'

Added a comment

sadly still lost

Merge branch 'master' of ssh://git.ikiwiki.info

Merge branch 'master' of ssh://git.ikiwiki.info

Ping'ing Joey.

Added a comment: kind of solved, but another problem comes up

Merge branch 'master' of ssh://git.ikiwiki.info

removed

Added a comment: ceci est un test

update for rename of todo/Olea.mdwn to users/Olea.mdwn

update for rename of todo/Olea.mdwn to users/Olea.mdwn

rename todo/Olea.mdwn to users/Olea.mdwn

Added a comment

Added a comment

Merge branch 'master' of ssh://git.ikiwiki.info

Added a comment

I think this is the same WMD, but not sure.

Added a comment: Further enquiries

Merge branch 'master' of ssh://git.ikiwiki.info

Added a comment: [[!meta author="...

I think this is the same WMD, but not sure.

fixed formatting

added workaround.

Added request.

some details about past security hole

typo

ensure HTML::Entities is always loaded

(Worked ok in my tests w/o this, but not sure I tested every case,
and this is correct.)

cve

add news item for ikiwiki 3.20120516

releasing version 3.20120516

meta: Security fix; add missing sanitization of author and authorurl. Thanks, Raúl Benencia

Merge branch 'master' of ssh://git.ikiwiki.info

fix url

maybe [[|that page]]?

Merge branch 'master' of ssh://git.ikiwiki.info

Get started on my user page, fix name spelling, link branches to username

Introduce my linkbase branch

po/Makefile: missing one semicolon still

created, asked a question