Announce 3.20160506

Merge remote-tracking branch 'origin/master'

3.20160506

Exclude users/* from the HTML documentation

Do not recommend mimetype(image/*)

Not all image file types are safe for general use: in particular,
image/svg+xml is known to be vulnerable to CVE-2016-3714 under some
ImageMagick configurations.

Document the security fixes in this release

update test suite for svg passthrough by img directive

Remove build dependency libmagickcore-6.q16-2-extra which was only there
for this test.

img: Add back support for SVG images, bypassing ImageMagick and simply passing the SVG through to the browser

SVG scaling by img directives has subtly changed; where before size=wxh
would preserve aspect ratio, this cannot be done when passing them through
and so specifying both a width and height can change the SVG's aspect
ratio.

(This patch looks significantly more complex than it was, because a large
block of code had to be indented.)

[smcv: drop trailing whitespace, fix some spelling]

changelog for smcv's security fixes

[smcv: omit a change that was already in 3.20160514]

img: check magic number before giving common formats to ImageMagick

This mitigates CVE-2016-3714 and similar vulnerabilities by
avoiding passing obviously-wrong input to ImageMagick decoders.

img: restrict to JPEG, PNG and GIF images by default

This mitigates CVE-2016-3714. Wiki administrators who know that they
have prevented arbitrary code execution via other formats can re-enable
the other formats if desired.

img: force common Web formats to be interpreted according to extension

A site administrator might unwisely set allowed_attachments to
something like '*.jpg or *.png'; if they do, an attacker could attach,
for example, a SVG file named attachment.jpg.

This mitigates CVE-2016-3714.

HTML-escape error messages (OVE-20160505-0012)

The instance in cgierror() is a potential cross-site scripting attack,
because an attacker could conceivably cause some module to raise an
exception that includes attacker-supplied HTML in its message, for
example via a crafted filename. (OVE-20160505-0012)

The instances in preprocess() is just correctness. It is not a
cross-site scripting attack, because an attacker could equally well
write the desired HTML themselves; the sanitize hook is what
protects us from cross-site scripting here.

all good

response: confirmation it's a bug in MMD and Discount doesn't have footnotes, and request for workaround

discount (as used on this wiki) can do footnotes, but they aren't enabled by ikiwiki

response

response

response

Merge branch 'master' of ssh://git.ikiwiki.info

response

Merge remote-tracking branch 'origin/master'

http/https issue

smaller is too small for large blocks

fix typo and comment

new CSS bug

explain footnotes

Changed the expired domain and added question

Fixed dead link.

add screenshot

fix typos

announce the admonition plugin

elaborate copyright investigation. ugh.

response

can't login again

escape

templates are another way to do this

a weird authentication bug

admonitions proposal

Arguing more

Added systemd for nginx

Document new feature.

clarify that theme and css is not only to change stylesheets, but the look in general

link to localstyle after a user struggled for hours to figure out exactly that

explain why multiple page.tmpl is a showstopper for upstream even if not for local themes

Updated link

Updated link

Edited old sentence to reference the forum

Asked Joey to reconsider

Added yet another bootstrap theme

Added question

There's also a config file option.

Marketing

Delivering what I've promised

Ok now I've got it right

The structure was all wrong

Forgot to add the main folder

Added two questions

Added a comment: Any chance on moving forward on this?

todo

add missing </div>

Explanation of my part on the confusion

Tried to fix considering http://ikiwiki.info/tips/bootstrap_themes_evaluation/

added personal information

updated sites list

New inline's same as old, plus plugins/contrib/*.

Retry previous with more brain cells engaged.

Try another inline with just tagged(reviewed).

describe XSS issue

briefly describe XSS issue

new bug

add my modifications to bootstrap

fix links

respond

review

move discussion points to Discussion

copy from main page

tag as patch, reviewed

review

compatible_templates.mdwn: Fix typesetting

Add compatible_templates.mdwn

Correctly handle filenames starting with a dash in add/rm/mv.

This reverts commit 4712595e6304cc224b2dfdbb1cfe9f2e61bed371

revert test commit outside sandbox

This reverts commit cc5ad8efcd9378b114a51511b548779b2000e50d

nothing