this was actually released a while ago by the security team

fix version typo

Fix CSRF attacks against the preferences and edit forms. Closes: #475445

The fix involved embedding the session id in the forms, and not allowing the
forms to be submitted if the embedded id does not match the session id.

In the case of the preferences form, if the session id is not embedded,
then the CGI parameters are cleared. This avoids a secondary attack where the
link to the preferences form prefills password or other fields, and
the user hits "submit" without noticing these prefilled values.

In the case of the editpage form, the anonok plugin can allow anyone to edit,
and so I chose not to guard against CSRF attacks against users who are not
logged in. Otherwise, it also embeds the session id and checks it.

For page editing, I assume that the user will notice if content or commit
message is changed because of CGI parameters, and won't blndly hit save page.
So I didn't block those CGI paramters. (It's even possible to use those CGI
parameters, for good, not for evil, I guess..)

The only other CSRF attack I can think of in ikiwiki involves the poll plugin.
It's certianly possible to set up a link that causes the user to unknowingly
vote in a poll. However, the poll plugin is not intended to be used for things
that people would want to attack, since anyone can after all edit the poll page
and fill in any values they like. So this "attack" is ignorable.
(cherry picked from commit 72b5ef2c5fb01751992c9400afe2690da5df611f)

Conflicts:

IkiWiki/CGI.pm
debian/changelog
doc/security.mdwn
po/ikiwiki.pot

Allow colons in URLs after the first slash

A new regexp fixes this bug:
http://ikiwiki.info/bugs/No_link_for_blog_items_when_filename_contains_a_colon/

I traced this down to htmlscrubber. If disabled,
it works. If enabled, then $safe_url_regexp
determines the URL unsafe because of the colon and
hence removes the src attribute.

Digging into this, I find that RFC 3986 pretty
much discourages colons in filenames:

"""
A path segment that contains a colon character
(e.g., "this:that") cannot be used as the first
segment of a relative-path reference, as it would
be mistaken for a scheme name. Such a segment must
be preceded by a dot-segment (e.g., "./this:that")
to make a relative- path reference.
"""

on the other hand, with usedirs, any link to
another page will be prepended by ../ anyway, so
that makes them okay again.

The solution still seems not to use colons.

In any case, htmlscrubber should get a new regexp,
courtesy of dato.

I have tested and verified this.

Signed-off-by: martin f. krafft <madduck@madduck.net>

update changelog after cherry-picking all relevent fixes

Allow the smb: URI scheme.

Allow the snews: URI scheme.

Do not allow the steam: URI scheme.

Match literal '.' in URI schemas containing '.', rather than matching any character

* meta: Check that the urls provided for authorurl, permalink, and openid
      are safe and can't contain javascript.

Also filter the attributes cite, longdesc, and usemap, which can contain URIs

Do not allow the about: URI scheme

Some browsers interpret about: URIs like a limited version of data:
URIs.  In particular, some versions of Internet Explorer interpret
arbitrary HTML content in about: URIs.

export $safe_url_regexp

fix data:image handling

remove conflict marker

fix backport

backport htmlscrubber javascript uri sanitisation fix from master

resecued version 1.33.3, which was not tagged in revision control before

releasing version 1.33

typos

web commit by VictorMoral: New version 0.9

* Work with hyperestraier 1.4.9.

web commit by JoshTriplett

web commit by JoshTriplett

web commit by JoshTriplett

web commit by JoshTriplett

web commit by BradRoberts

web commit by EthanGlasserCamp: wikify

web commit by BradRoberts

web commit by BradRoberts

fixes

* Work around a strange bug in CGI::FormBuilder 3.0401 that makes
  FORM-SUBMIT unusable on customised formbuilder templates. For now,
  hardcode the submit buttons in editpage.tmpl instead of using the
  template variable, which is ok, since the buttons are static.

* Fix img plugin's handling of adding dependencies for images that do not
  yet exist.

response

* Make sure to check for errors from every eval.

web commit by joey: responses

update

this is really a todo item, not a bug

response

* Patch from Ethan Glasser Camp to add a skip option to the inline plugin.

web commit by EthanGlasserCamp: This is probably better.

* Enable utf8 file IO in aggregate plugin.
* Fix some issues with the new registration form.

web commit by EthanGlasserCamp

web commit by EthanGlasserCamp: exactly what it sounds like

web commit by EthanGlasserCamp: Oops, this is what the patch actually says!

web commit by EthanGlasserCamp: use diff -ur so I can apply this easier in the future

web commit by EthanGlasserCamp: use a real patch format rather than just doing svn diff

web commit by JoshTriplett: Canonical feed location?

web commit by JoshTriplett

web commit by JoshTriplett: Fix links which just had [homepage] or [blog] in the text to include the surrounding attribution, and change the ion link from HTML to markdown

web commit by JoshTriplett: Add the Sparse wiki.

typo

* Avoid syntax errors in templates used by the template plugin crashing
  ikiwiki.

* Fix issue with aggregate plugin updating expired pages.

add news item for ikiwiki 1.32

releasing version 1.32

move :-) to correct location

  Closes: #396702

web commit by KyleMacLea

web commit by KyleMacLea

* Patch from James Westby to support podcasting, photoblogging, vidcasting,
  or what have you, by creating enclosures for non-page items that are
  included in feeds.

idea

update

foo

done-ish

* Implemented expiry options for aggregate plugin.
* Use precalculated backlinks info when determining if files need an update
  due to a page they link to being added/removed. Mostly significant if
  there are lots of pages.
* Remove duplicate link info when saving index. In some cases it could
  pile up rather badly. (Probably not the best way to deal with this
  problem.)

add pointer to backport

* Improve login/register process, the login dialog has only name and
  password fields, which allows more web browsers to regognise it as a login
  field, and is less confusing.

* Add perlmagick to build-depends so syntax check of img plugin works.

web commit by jh

revamp css market, allow selecting stylesheets on the fly in web browser

another update

fold

update

* Install the source of the examples into /usr/share/doc/ikiwiki/examples.

update

* Add a default stylesheet entry for the pagecloud.
* Add examples page with some examples of things that can be done using
  ikiwiki, like a weblog. The examples can be copied into a user's wiki
  for a quick start, without needing to learn everything about how to put
  them together.

fix a bug

updated again

* Now that links are calculated in a separate pass, it can also
* Stylish update to the ikiwiki logo, thanks to Recai Oktaş and Selçuk
  Erdem.

update

update

  instead of over and over. Typical speedup is ~4x. Max possible speedup:
  8x.
* Add "scan" parameter to hook(), which is used to make the hook be called
  during the scanning pass, as well as the render pass. The meta and tag
  plugins need to use the new scan parameter, so will any others that modify
  %links.
* Now that links are calculated in a separate pass, it can also
  precalculate backlinks in one pass, which is O(N^2) instead of the
  previous code that was O(N^3). A very nice speedup for wikis with lots
  (thousands) of pages.

* Add a separate pass to find page links, and only render each page once,
  instead of over and over. This is up to 8 times faster than before!
  (This could have introduced some subtle bugs, so it needs to be tested
  extensively.)

add news item for ikiwiki 1.31

releasing version 1.31

update

delete session

* Add basic spam fighting tool for admins: An admin's prefs page now allows
  editing a list of banned users who are not allowed to log in.

revert spammer

web commit by shoesorder

web commit by shoesorder

web commit by shoesorder

web commit by shoesorder

* Add missing dependency on the URI perl module.

web commit by MarkBucciarelli

web commit by ScottHenson

response

web commit by ScottHenson

response