Updated CHANGELOG

 Added "debug_enforce_classic_upload" to Docker options

Added TehPeGaSuS  to the list of authors

Modified copyright header of all themes

Applied CSS for "show password box" to other themes

Applied patch by @Blackstareye  from merge request !30

Now we have an eye button for toggling the password to clear text

Merge branch 'patch-1' into 'show_password_box'

Add a Show password checkbox

See merge request jirafeau/Jirafeau!30

Merge branch 'fix_legacy_upload' into 'next-release'

Fixed file encryption on classic upload

See merge request jirafeau/Jirafeau!34

Merge branch 'md5_to_sha256' into 'next-release'

Md5 to sha256

See merge request jirafeau/Jirafeau!33

Fixed error message occuring on classic upload

Changed handling of XHR responses

Fixed temporary filenames of encrypted files during classic upload

Renamed cfg option debug_enforce_legacy_upload  to debug_enforce_classic_upload

Fixed file encryption in classic uploads

Encrypted files uploaded using classic (synchronous) uploads were marked using "C" identifying legacy mcrypt encryption
=> changed to "C2" identifying Sodium encryption

Small refactoring

Added config option to enforce legacy synchronous file upload

This is useful for debugging, we use it for issue #48

Fixed linter error

Prefixed SHA256 password hashes

This way we can identify them and still compare to legacy MD5 hashes

Here we actually NEED MD5. This one affects only legacy files encrypted using mcrypt.

Merge branch 'proposal_ci_php_linting_with_warning' into 'next-release'

Proposal ci php linting with warning

See merge request jirafeau/Jirafeau!32

Mentioned CVE-2026-1466 in CHANGELOG

pat pat - ci linting

fixed script md5 -> sha256

#34 - change md5 to sha256

updated php-cs-fixer version to latest version

rearanged anchors and added linting proposal

Updated CHANGELOG

Merge branch 'master' into 'next-release'

Missing favicon

See merge request jirafeau/Jirafeau!31

Another attempt to fix linting

Trying to make linting happy

Upload New File

Add a `Show password checkbox`

Begin a new release cycle

Jirafeau 4.7.1 is ready

Updated README

- Notes about lack of end-to-end encryption
- Notes about setting max_upload_chunk_size_bytes manually if updating from an older version

Updated CHANGELOG

Docker image: Updated PHP to 8.3 and removed mime-types.conf from lighttpd.conf

PHP 8.1 is end-of-life
mime-types.conf is not available in recent versions of lighttpd

Fixed issue #45

Added slt to list of authors

Updated CHANGELOG

Further description of issue #40 in README

Set default value of max_upload_chunk_size_bytes to 5000000 (5MB)

Higher values can trigger a bug in Chromium based browsers with HTTP/3 on the web server enabled (see issue #40)

Merge branch 'bug_mime_sniffing' into 'next-release'

Disable MIME sniffing to prevent preview of invalid (propably harmful) file types

See merge request jirafeau/Jirafeau!29

Disable MIME sniffing to prevent preview of invalid (propably harmful) file types

Reported by Yann CAM and Killian CHEVRIER

Mentioned issue #40 as a known issue in the README file

Begin a new release cycle

Jirafeau 4.7.0 is ready

Updated list of authors

Updated CHANGELOG

Updated CHANGELOG

Merge branch 'shortlinks' into 'next-release'

add short link support

See merge request jirafeau/Jirafeau!24

add short link support

Fixed indentation

Merge branch 'f_issue_35-36' into 'next-release'

Fixes for issues 35 and 36

See merge request jirafeau/Jirafeau!26

Merge branch 'f_issue_37' into 'next-release'

Fix for issue 37

See merge request jirafeau/Jirafeau!27

Trying to upload a file using script.php with an upload password set always ends up in an "Error 2". Added "!isset($_POST['upload_password'])" to the test condition.

Patch by Yannis Aribaud

Download statistics were not shown in the admin interface

This feature got accidentally lost during refactoring

The generated download password was not shown in the "finished" page

This feature got accidentally lost during refactoring

Also made the form field readonly

Merge branch 'make-tos-identifiable' into 'next-release'

give tos notice a specific element id

See merge request jirafeau/Jirafeau!25

give tos notice a specific element id

Mentioned CVE-2025-7066

Begin a new release cycle

Jirafeau 4.6.3 is ready

Updated CHANGELOG

Fixes for issues #31 and #32

See merge request jirafeau/Jirafeau!22

Compare stored hashes for admin and download password using hash_equals()

This prevents timing attacks and attacks using Type Juggling

Originally proposed by onosh

Check for commas in MIME type before generating preview

It was possible to bypass the preview check by sending a manipulated HTTP request with a MIME type like "image/png,text/html".
When parsing the Content-Type of a HTTP response, browsers see multiple MIME types, and the last one, text/html, takes precedence, allowing to execute potentially harmful JavaScript code.

This check was originally implemented to address CVE-2022-30110 then CVE-2024-12326.

Reported by:
- Yann CAM (ycam) (https://yann.cam/)
- Killian CHEVRIER (palmier) (https://killianchevrier.fr/)

Merge branch 'master' into 'next-release'

fix grammar mistake

See merge request jirafeau/Jirafeau!21

fix grammar mistake

Begin a new release cycle

Merge branch 'next-release'

Jirafeau 4.6.2 is ready

Updated CHANGELOG

Merge branch 'hotfix_issue_21' into 'master'

HOTFIX: fix for issue #21 and a docker_compose.yaml for testing | cherry https://gitlab.com/jirafeau/Jirafeau/-/commit/8e36d013510ddedf9bb830b547f2de7664815bd0

See merge request jirafeau/Jirafeau!20

fix for issue #21 and a docker_compose.yaml for testing

Merge branch 'hotfix_cherrypick_issue_23' into 'master'

fixed script upload - missing return statement

See merge request jirafeau/Jirafeau!19

fixed script upload - missing return statement

Merge branch 'fix_for_issue_23' into 'next-release'

fixed script upload - missing return statement

See merge request jirafeau/Jirafeau!18

fixed script upload - missing return statement

Merge branch 'fix_for_issue_20' into 'next-release'

fix for #20, added also lang to env variables; added function for associative...

See merge request jirafeau/Jirafeau!14

fixed typo

added run container section

changed method name and added doc for docker compose

fixed format

fix for #20, added also lang to env variables; added function for associative arrays (e.g. json in env)

example docker compose with availabilities (defaulted according to config)

Merge branch 'fix_for_issue_21' into 'next-release'

fix for issue #21 and a docker_compose.yaml for testing

See merge request jirafeau/Jirafeau!13

fix for issue #21 and a docker_compose.yaml for testing

Begin a new release cycle

Updated CHANGELOG

Jirafeau 4.6.1 is ready

Updated CHANGELOG

Made check for MIME type "image/svg+xml" case insensitive

It was possible to bypass this check by sending a manipulated HTTP request with a MIME type like "image/svg+XML".
This check was originally implemented to address CVE-2022-30110.

Reported by:
- Yann CAM (ycam) (https://yann.cam/)
- Georges TAUPIN (jo) (https://www.georgestaupin.com/)

Fixed footer ("designed by")

Removed references to weblate

Updated CHANGELOG

Updated Docker README

Merge branch 'bug_content_length' into 'next-release'

Store filesize before encrypting the file

See merge request jirafeau/Jirafeau!11

Updated Docker README

Store filesize before encrypting the file

This currently applies only for async uploads.

Otherwise we would send the size of the encrypted file and the data of the unencrypted file.
The encrypted file is usually larger than the unencrypted one. So the browser expects more
data and aborts the download because it thinks it didn't receive all the data.

Added "one_time_download_preselected" to Docker options

Merge branch 'docker_arm' into 'next-release'

Build Docker images for linux/arm/v7, linux/arm64/v8 and linux/amd64

See merge request jirafeau/Jirafeau!10