Jirafeau 4.6.3 is ready

Updated CHANGELOG

Fixes for issues #31 and #32

See merge request jirafeau/Jirafeau!22

Compare stored hashes for admin and download password using hash_equals()

This prevents timing attacks and attacks using Type Juggling

Originally proposed by onosh

Check for commas in MIME type before generating preview

It was possible to bypass the preview check by sending a manipulated HTTP request with a MIME type like "image/png,text/html".
When parsing the Content-Type of a HTTP response, browsers see multiple MIME types, and the last one, text/html, takes precedence, allowing to execute potentially harmful JavaScript code.

This check was originally implemented to address CVE-2022-30110 then CVE-2024-12326.

Reported by:
- Yann CAM (ycam) (https://yann.cam/)
- Killian CHEVRIER (palmier) (https://killianchevrier.fr/)

Merge branch 'master' into 'next-release'

fix grammar mistake

See merge request jirafeau/Jirafeau!21

fix grammar mistake

Begin a new release cycle

Merge branch 'next-release'

Jirafeau 4.6.2 is ready

Updated CHANGELOG

Merge branch 'hotfix_issue_21' into 'master'

HOTFIX: fix for issue #21 and a docker_compose.yaml for testing | cherry https://gitlab.com/jirafeau/Jirafeau/-/commit/8e36d013510ddedf9bb830b547f2de7664815bd0

See merge request jirafeau/Jirafeau!20

fix for issue #21 and a docker_compose.yaml for testing

Merge branch 'hotfix_cherrypick_issue_23' into 'master'

fixed script upload - missing return statement

See merge request jirafeau/Jirafeau!19

fixed script upload - missing return statement

Merge branch 'fix_for_issue_23' into 'next-release'

fixed script upload - missing return statement

See merge request jirafeau/Jirafeau!18

fixed script upload - missing return statement

Merge branch 'fix_for_issue_20' into 'next-release'

fix for #20, added also lang to env variables; added function for associative...

See merge request jirafeau/Jirafeau!14

fixed typo

added run container section

changed method name and added doc for docker compose

fixed format

fix for #20, added also lang to env variables; added function for associative arrays (e.g. json in env)

example docker compose with availabilities (defaulted according to config)

Merge branch 'fix_for_issue_21' into 'next-release'

fix for issue #21 and a docker_compose.yaml for testing

See merge request jirafeau/Jirafeau!13

fix for issue #21 and a docker_compose.yaml for testing

Begin a new release cycle

Updated CHANGELOG

Jirafeau 4.6.1 is ready

Updated CHANGELOG

Made check for MIME type "image/svg+xml" case insensitive

It was possible to bypass this check by sending a manipulated HTTP request with a MIME type like "image/svg+XML".
This check was originally implemented to address CVE-2022-30110.

Reported by:
- Yann CAM (ycam) (https://yann.cam/)
- Georges TAUPIN (jo) (https://www.georgestaupin.com/)

Fixed footer ("designed by")

Removed references to weblate

Updated CHANGELOG

Updated Docker README

Merge branch 'bug_content_length' into 'next-release'

Store filesize before encrypting the file

See merge request jirafeau/Jirafeau!11

Updated Docker README

Store filesize before encrypting the file

This currently applies only for async uploads.

Otherwise we would send the size of the encrypted file and the data of the unencrypted file.
The encrypted file is usually larger than the unencrypted one. So the browser expects more
data and aborts the download because it thinks it didn't receive all the data.

Added "one_time_download_preselected" to Docker options

Merge branch 'docker_arm' into 'next-release'

Build Docker images for linux/arm/v7, linux/arm64/v8 and linux/amd64

See merge request jirafeau/Jirafeau!10

Added some comments explaining the build job for the Docker image

Build Docker images for linux/arm/v7, linux/arm64/v8 and linux/amd64

Merge branch 'fix_cs' into 'next-release'

Switched to php-cs-fixer 3.64.0 and PSR12 in CI

Added pipeline for PHP 8.2

See merge request jirafeau/Jirafeau!7

Added pipeline for PHP 8.2

Skip single_space_around_construct check in CI

Fixed every error detected by php-cs-fixer (except the single_space_around_construct type)

Updated Docker README

- Mount local directory for data storage
- Syntax highlighting

Switched to php-cs-fixer 3.64.0 and PSR12 in CI

Also "fix --dry-run" does the same as "check"

Updated README and CHANGELOG

Merge branch 'bug_admin_download_encrypted' into 'next-release'

Removed the download button and the corresponding link for encrypted files from the admin interface

See merge request jirafeau/Jirafeau!6

Removed the download button and the corresponding link for encrypted files from the admin interface

Merge branch 'new-copyright-header' into 'next-release'

Updated copyright header, new list of authors in separate file

See merge request jirafeau/Jirafeau!5

Updated copyright header, new list of authors in separate file

Updated CHANGELOG

Added screenshots directory to .dockerignore

Merge branch 'new-screenshots' into 'next-release'

Update screenshots in README and store them in the repository

See merge request jirafeau/Jirafeau!4

Update screenshots in README and store them in the repository

Merge branch 'f_modularization_wip_rebased' into 'next-release'

Code Modularization

See merge request jirafeau/Jirafeau!3

Code Modularization

Merge branch 'master' into next-release

This will fix the history after commit 4efa531d in master

Copied information about Docker from README files from next-release to master

So our users will instantly get this new information whem opening the GitLab page

Fixed Docker README

- URL was incorrect
- Removed warning about outdated image

Merge branch 'rebase_integrate_docker_build_and_publish' into 'next-release'

#2: Build and publish Docker images using GitLab CI.

See merge request jirafeau/Jirafeau!1

#2: Build and publish Docker images using GitLab CI.

---
Add the ability to build & publish a docker image to the Gitlab
container registry when tagging a commit.

For now we'll publish both tag (i.e. `x.x.x`) and `latest` upon trigger.

It's assumed tags are only set on the default branch and only limited
amount people have tag rights. As it publishes `latest` it's important
not to push breaking / untested releases. If required a more elaborate
setup can be created, but let's start somewhere.

For now it's assumed in README.md files we're going to publish to the
GitLab Container Registry, with $CI_REGISTRY/$CI_REGISTRY_IMAGE
variables resolving to `registry.gitlab.com/jirafeau/jirafeau`.

Changes:
- Fixup of several pre-existing linter errors in `php` files
- Cleanup `Dockerfile`, merged `COPY` & `RUN` layers leveraging BuildKit
- Added `publish` pipeline step to be triggered using `tags`
- Updated docker image related references in `README.md`
- Refactored `.gitlab-ci.yaml` to only run `before_script` for linters

New config option to preselect the checkbox for deleting the file after the first download

Changed JIRAFEAU_VERSION so that we can identify that this is a development vesion

Define new constant JIRAFEAU_WEBSITE with the project's website

Made use of this constant where possible

README: Deny access to var on Apache using "Require all denied"

Added some words about a custom dark theme

Added folder "dark-custom" to .gitignore

Jirafeau version 4.6.0

Fixed headings in Docker README

Also mentioned that there is currently no pre-made Docker image

Fixed headings in README

Fixed headings in CHANGELOG

Added link to Sodium extension in README

Note the authentication type (by password or by IP no password) in the session

This allows us to show the logout button only if the user is authenticated by password

Translated INSTALL_FILE_NOT_FOUND_TITLE and INSTALL_FILE_NOT_FOUND_DESC to German

Small changes to README and CONTRIBUTING

Small readme adoptions

Changed URLs to point to new group repository

Fixed some things in README (typos, URLS, formatting)

Changed links to point to my fork

Updated CHANGELOG to reflect the changes since 4.5.0

Fixed some things in README, especially the inline code

Merge branch 'multi-http-admins' into next-release

Updated README

Merged next-release into master

Add @Blackstareye's fork

@ref #360

Update some badges in README

Signed-off-by: Jerome Jutteau <jerome@jutteau.fr>

End of maintenance

Signed-off-by: Jerome Jutteau <jerome@jutteau.fr>

Allow multiple usernames when using HTTP authentication for the admin interface

Changed $cfg['admin_http_auth_user'] to an array to provide multiple usernames.
The option to provide a string here is preserved for backward compatibility.

Fixed some mistakes in german translation

Fixed a typo

Centralize legacy mcrypt decryption in `jirafeau_decrypt_file_legacy()`

Same as with `jirafeau_decrypt_file()` in a previous commit

`jirafeau_decrypt_file_legacy()` was also broken, a `mcrypt_generic_init()` was missing

Fixed function comments

Define constants only if Sodium is available

Centralize decryption in `jirafeau_decrypt_file()`

Previously the decryption code in f.php was a copy of `jirafeau_decrypt_file()`.
Now, we let the funtion write to `php://output`.

`jirafeau_decrypt_file()` was previously broken because of me doing copy-paste...

Mention that source and destination file must not be the same and abort if they are the same

Define some Sodium constants from newer PHP versions if they are not available

Check return value of `rename()` after encryption

Show a warning in admin interface if Sodium is not available