CVE

finalizing this release

teximg: Make TeX handle preventing unsafe things; remove insufficient blacklist

TeX has configuration options that prevent unsafe things like shell
escapes and insecure file reads/writes.  Turn all of them on.

teximg's regex-based blacklist does not suffice.  For instance:

[[!teximg code="""
\catcode`\%=0
%input{/etc/passwd}
"""]]

Remove the blacklist, since the TeX configuration options seal off the
underlying mechanisms more safely, and the blacklist blocks other TeX
commands that can prove useful.
(cherry picked from commit 9f75d3b1f3c43820cff9ce554601f64c60d72b14)

Conflicts:

IkiWiki/Plugin/teximg.pm
debian/changelog

img: Don't generate new verison of image if it is scaled to be larger in either dimension.

Although imagemagick handles even really large sizes sanely, using a page
file, doing so would just waste time and disk space, since the browser
can be told to resize it larger.

Conflicts:

IkiWiki/Plugin/img.pm
debian/changelog

releasing version 2.53.3

check for invalid utf-8, and toss it back to avoid crashes

Since ikiwiki uses open :utf8, perl assumes that files contain valid utf-8.
If it turns out to be malformed it may later crash while processing strings
read from them, with 'Malformed UTF-8 character (fatal)'.

As at least a quick fix, use utf8::valid as soon as data is read, and if
it's not valid, call encode_utf8 on the string, thus clearing the utf-8
flag. This may cause follow-on encoding problems, but will avoid this
crash, and the input file was broken anyway, so GIGO is a reasonable
response. (I looked at calling decode_utf8 after, but it seemed to cause
more trouble than it was worth. BTW, use open ':encoding(utf8)' avaoids
this problem, but the corrupted data later causes Storable to crash when
writing the index.)

This is a quick fix, clearly imperfect:
- It might be better to explicitly call decode_utf8 when reading files,
  rather than using the IO layer.
- Data read other than by readfile() can still sneak in bad utf-8. While
  ikiwiki does very little file input not using it, stdin for the CGI
  would be one way.
(cherry picked from commit 716560b7f15b6e15b246c39c11eb8181d91c8662)

Conflicts:

debian/changelog

orphans: Fix unquoted page name in regexp.
(cherry picked from commit a473cb2f74738d369130135b8c3ce0f6ef66af02)

releasing version 2.53.2

Merge commit 'origin/debian-testing' into debian-testing

Fix bad patch backport that broke generation of rss/atom feeds. Closes: #498224

releasing version 2.53.1

finalizing

updates

fix typo

Work around perl $_ scoping nonsense that caused breakage when loading external plugins.

(There's a good chance this bug doesn't affect this version of the code,
since while $config{plugin} is clobbered, it's not used further.)

map: The fix for #449285 was buggy and broke display of parents in certian circumstances.

The use of $dummy was not sufficient, because it only stuck around for the
first element after a dummy parent, and was then lost. Instead, use a
$addparent that contains the actual dummy parent, so it can be compared
with the new item to see if we're still under that parent or have moved to
another one.
(cherry picked from commit 9b10f5eab22be36cf3b3a217076c76a669b4aafa)

remove wacky meta description tag

edittemplate: Don't wipe out edits on preview.
(cherry picked from commit d06096ad0d15dc7fb5e3187209a2908b3613b30b)

external: Fix support for hooks called in an array context.
(cherry picked from commit 86660e9c82b67f9165cb5fabe28c341a338d8c4e)

inline: Ignore parent dirs when sorting pages by title.
(cherry picked from commit 581381e335f2adc83d980c6805e1e51a936fba45)

changelog
(cherry picked from commit 1c831b472b3d84342d649db01eb33718e3b5bd0c)

Handle the case when HTML got tidied.

This fixes debian bug #492529.
(cherry picked from commit 02078c406ca71780e45af0f4dea6ceafcd56c730)

toggle: Fix incompatability between javascript and webkit.
(cherry picked from commit 99b59f2d62a8e431d84a469ab31a8da101333b26)

fix feed urls

The fix for colons involved adding "./" to some urls. Due to the weird way
inline called urlto, these snuck into feed urls and permalinks. Fix it by
adding an optional third parameter to urlto.

Really fix bug with links to pages with names containing colons

Previous fix mised a few cases.
(cherry picked from commit c2ffd205f3301a9fe6b5949a88da770899642589)

Bug fix: use &IkiWiki::pagetitle rather than nonexistent &pagetitle in meta plugin, so that PageSpecs with title(...) work again
(cherry picked from commit 1f26a1bf1655b1d0223b24ba1db70579a3774eb1)

update changelog
(cherry picked from commit b557ba7c462c04d7fa924e4f293d4808f26219fe)

Use correct term prefixes when searching.

The Z term prefix is for stemming and shouldn't be used here.
X is for custom fields.
(cherry picked from commit e3b0584a493d4d2178bc7c48ff89fde766ff322b)

Add a postscan hook.

* Add a postscan hook.
* search: Use postscan hook, avoid updating index when previewing.
(cherry picked from commit 584f3e3061e8983e4caa328d7bc16fdeba849654)

remove dead code
(cherry picked from commit 6364949dfced5cdbba5014d34dbf0e7f0980cd27)

fix pos setting

What was really going on is that expanding a smiley modified the string and
reset the match process. Force set pos so it continues on from the expanded
smiley.
(cherry picked from commit c4f124d78a4c6e227f2017452821c95c35544860)

add smiley to work around markdown

{*} can be interpreted as the start of emphasised text by markdown, so add
{x} as an alternate way to get the same symbol
(cherry picked from commit 16c44bd209506de96e4fe5a5c007a456badc053d)

smiley escaping fixes

Smileys need to be double-escaped to work, since the smiley plugin runs as
a sanitize hook, and markdown helpfully removes one level of escapes first.

There were some bugs in the smiley handling code that made escaped smileys
still be expanded. After unescaping a smiley, it needed to move pos forward
past it or the next pass would expand it.

Also, once the m//g got to the end, it seemed to loop back through and make
one more pass (a difference in perl 5.10's regexp exngine? I observed that
pos was undefined when this happened, so added a `last unless defined pos`.
(cherry picked from commit df3a8b183c4e6b50b05ba3c4514563619927c924)

Change deb dependencies to list Text::Markdown before markdown, since the former, while slower, has a much better html parser that avoids numerous bugs.
(cherry picked from commit a0f596b6ed4594011b07cf7af2d2d55aa78d8be1)

Fixes creation of pages when clicking on WikiLinks starting with "/".
(cherry picked from commit 3879c56e71bb2e0d5fda81982d900fc93d4a893d)

ikiwiki-transition: Fix command-line processing so the prefix_directives transition works again.
(cherry picked from commit 1aab048e8117e65faa7e2d0020609ee83e8e3a70)

improve fix to DTRT for a param of "0"
(cherry picked from commit 6f2d1536b8ce0bd746c87c00466170435ddb3923)

Suppress warning about uninitialized value if directives look like [[!foo]]
(cherry picked from commit cf58eefaa56eb17c227d97d129bf95e3dab54fd3)
(cherry picked from commit 4c2f46e3fa34238bbdd093f0b3d211103a3b94a3)

releasing version 2.53

improve error message if virus checker fails w/o output

web commit by intrigeri: initial wishlist

web commit by http://jcflack.myopenid.com/

web commit by http://jcflack.myopenid.com/

web commit by ptecza.myopenid.com/: * Confirmation and thanks

remove patch tag

close

close

Merge branch 'master' of ssh://git.ikiwiki.info/srv/git/ikiwiki.info

testing

web commit by bremner: fix my name

mention github mirror

testing

testing

testing

testing

testing

otl: Support utf-8 files. (Recai Oktaş)

response

web commit by https://id.mayfirst.org/jamie/

web commit by https://id.mayfirst.org/jamie/

response

web commit by AndrewGreenberg: bad formatting on bug report, sorry.

web commit by AndrewGreenberg: Added nasty URL edit bug in 2.52.

not yet released

response

web commit by mrled

Merge branch 'master' of ssh://git.ikiwiki.info/srv/git/ikiwiki.info

Conflicts:

doc/bugs/attachment:_failed_to_get_filehandle.mdwn

attachment: Support perl 5.8's buggy version of CGI.pm.

This is truely horribly disgusting. CGI::tmpFileName, in current perls, is
an undocumented function (which should be a clue..) that takes the original
filename of an uploaded attachment, and returns the name of the tempfile
that CGI has stored it in.

In old perls, though, CGI::tmpFileName does not take a filename. It takes
a key from the object's {'.tmpfiles'} hash. This key is something
crazy like '*Fh::fh00001group' -- apparently the stringification of a
filehandle object.

Just to add to the fun, tmpFileName doesn't take the key, it expects a
refernce to the key. Argh?!

But the fun doesn't stop there, because in perl 5.8, CGI.pm is also broken
in two other ways. The upload() method is supposed to return a filehandle
to the temp file. It doesn't. The param() method is supposed to return
a filehandle to the temp file, that stringifies to the original filename.
It returns just the original filename, no filehandle.

Combine all these bugs, and you end up with this disgusting commit. Since
I have no way to get the filehandle, I *need* to get the tempfile name.
If I had the filehandle, I could probably pass it into tmpFileName, and
it might strigify to the right key name. But I don't, so the only way to
determine the key is to grub through the .tmpfiles hash ourselves.

And finally, one the temp file name is discovered, a filehandle can finally
be obtained by (re)opening it.

I recommend that this commit be reverted when perl 5.8 is a mercifully
faded memory.

I'm really, really, really glad I'm actually being paid for working on
this right now!

explicitly set form type to multipart

This is the default in unstable's formbuilder, but not in stable's,
and CGI multipart is needed for fule uploads.

Include ikiwiki.setup in examples in the debian package.

web commit by ptecza.myopenid.com/: * Thanks!

web commit by HenrikBrixAndersen: This happens on FreeBSD as well

reproduced

response

check for tempfile being empty

rm

web commit by ptecza.myopenid.com/: * The bug still occurs

add dist-bugs

merge

response

web commit by mrled

web commit by mrled

web commit by mrled

web commit by mrled

web commit by mrled

undef $fh before opening

web commit by ptecza.myopenid.com/: * Still no success

response

another try at dealing with CGI.pm problem

open the temp file if all attempts to get a fd fail

web commit by ptecza.myopenid.com/: * Debugging again

possible fix

attachment: Support old versions of CGI.pm that lack an upload method.

web commit by ptecza.myopenid.com/: * Next debbuging

new thing to try

fix fix

close

Fix a bug with links to pages whose names contained colons.

So the problem is that ikiwiki would generate a relative link like
href="colon:problem", which web browsers treat as being in the "colon:"
uri scheme.

The best fix seems to be to make url beautification fix this, by slapping
a "./" in front.

web commit by ptecza.myopenid.com/: * Missing Apache2 version

web commit by ptecza.myopenid.com/: * Response

split out separate bug