3.20160509

Reference CVE-2016-4561 in 3.20160506 changelog

img test: exercise upper-case extensions for image files

Remove spurious changelog entry

This change was new in 3.20141016.3, but was applied to the master
branch several releases ago, so it is not new in 3.20160506.

mention that the CVE-2016-4561 fix was backported

Clarifying

Adding info regarding bootstrap classes

Adding sites

Detect image type from .JPG just like .jpg (etc.).

Fix spelling of "ratio" in test.

thanks!

tag added

thanks!

sorry, one day I'll review this, but this is not that day

still using this in production, would welcome feedback

dropping this.

img: make img_allowed_formats case-insensitive

inline: expand show=N backwards compatibility to negative N

[[plugins/contrib]] uses show=-1 to show the post-creation widget
without actually inlining anything.

Add CVE reference

respond

use intended filename

escape directive properly; add paragraph breaks

rename todo/Correctly_handle_filenames_starting_with_a_dash_in_add__47__rm__47__mv.mdwn to bugs/Correctly_handle_filenames_starting_with_a_dash_in_add/rm/mv.mdwn

already fixed

Announce 3.20160506

Merge remote-tracking branch 'origin/master'

3.20160506

Exclude users/* from the HTML documentation

Do not recommend mimetype(image/*)

Not all image file types are safe for general use: in particular,
image/svg+xml is known to be vulnerable to CVE-2016-3714 under some
ImageMagick configurations.

Document the security fixes in this release

update test suite for svg passthrough by img directive

Remove build dependency libmagickcore-6.q16-2-extra which was only there
for this test.

img: Add back support for SVG images, bypassing ImageMagick and simply passing the SVG through to the browser

SVG scaling by img directives has subtly changed; where before size=wxh
would preserve aspect ratio, this cannot be done when passing them through
and so specifying both a width and height can change the SVG's aspect
ratio.

(This patch looks significantly more complex than it was, because a large
block of code had to be indented.)

[smcv: drop trailing whitespace, fix some spelling]

changelog for smcv's security fixes

[smcv: omit a change that was already in 3.20160514]

img: check magic number before giving common formats to ImageMagick

This mitigates CVE-2016-3714 and similar vulnerabilities by
avoiding passing obviously-wrong input to ImageMagick decoders.

img: restrict to JPEG, PNG and GIF images by default

This mitigates CVE-2016-3714. Wiki administrators who know that they
have prevented arbitrary code execution via other formats can re-enable
the other formats if desired.

img: force common Web formats to be interpreted according to extension

A site administrator might unwisely set allowed_attachments to
something like '*.jpg or *.png'; if they do, an attacker could attach,
for example, a SVG file named attachment.jpg.

This mitigates CVE-2016-3714.

HTML-escape error messages (OVE-20160505-0012)

The instance in cgierror() is a potential cross-site scripting attack,
because an attacker could conceivably cause some module to raise an
exception that includes attacker-supplied HTML in its message, for
example via a crafted filename. (OVE-20160505-0012)

The instances in preprocess() is just correctness. It is not a
cross-site scripting attack, because an attacker could equally well
write the desired HTML themselves; the sanitize hook is what
protects us from cross-site scripting here.

all good

response: confirmation it's a bug in MMD and Discount doesn't have footnotes, and request for workaround

discount (as used on this wiki) can do footnotes, but they aren't enabled by ikiwiki

response

response

response

Merge branch 'master' of ssh://git.ikiwiki.info

response

Merge remote-tracking branch 'origin/master'

http/https issue

smaller is too small for large blocks

fix typo and comment

new CSS bug

explain footnotes

Changed the expired domain and added question

Fixed dead link.

add screenshot

fix typos

announce the admonition plugin

elaborate copyright investigation. ugh.

response

can't login again

escape

templates are another way to do this

a weird authentication bug

admonitions proposal

Arguing more

Added systemd for nginx

Document new feature.

clarify that theme and css is not only to change stylesheets, but the look in general

link to localstyle after a user struggled for hours to figure out exactly that

explain why multiple page.tmpl is a showstopper for upstream even if not for local themes

Updated link

Updated link

Edited old sentence to reference the forum

Asked Joey to reconsider

Added yet another bootstrap theme

Added question

There's also a config file option.

Marketing

Delivering what I've promised

Ok now I've got it right

The structure was all wrong

Forgot to add the main folder

Added two questions

Added a comment: Any chance on moving forward on this?

todo

add missing </div>

Explanation of my part on the confusion

Tried to fix considering http://ikiwiki.info/tips/bootstrap_themes_evaluation/

added personal information

updated sites list

New inline's same as old, plus plugins/contrib/*.