Merge pull request #13683 from seamuslee001/5_11_5_10_4_Release_Notes

Add in 5.10.4 Release notes

Add in 5.10.4 Release notes

Merge pull request #13673 from eileenmcnaughton/511geocode

Remove tests that no longer work due to dead service

Merge pull request #13663 from seamuslee001/lab_core_747

Hotfix for dev/core#747 To fix generation of contact image urls

Extract checking of filename into own function and add tests

Merge pull request #13670 from MegaphoneJon/reporting-10-rc

reporting#10 - fix pagination on Contribution Detail report

Remove tests that no longer work due to dead service

reporting#10 - fix pagination on Contribution Detail report

CRM_Core_Page_File - Only delivers directly under the customFileUploadDir

CRM_Core_Page_File - Fix warning when using filename mode

The idea here is that `id+eid+fcs` and `filename` are two separate modes.
In `filename` mode, you don't need warnings about the missing `fcs`.

CRM_Core_Page_File - More consistent capitalization/prose

Merge pull request #13662 from seamuslee001/hotfix_746

Deploy hotfix to fix dev/core#746 until tests can be written for fix

Deploy hotfix to fix dev/core#746 until tests can be written for fix

Fix GroupContactCacheTest

Hotfix for dev/core#747 To fix generation of contact image urls

Merge pull request #13660 from seamuslee001/5.11

5.11 - merge in security

release-notes/5.10.3.md - Update "Feedback" to be... closer to reality wrt SA's

release-notes/5.10.3.md - TOC should match actual headings

Add in 5.10.3 Security Release Notes

Fix file e-notice by using the correct url variables

Fix variables to match image file hash generation

CRM_Profile_Form - Add fcs for download link on custom field

(REF) Clearer docblocks and file names

Fix multiple issues with file URLs. Use clearer variables and docblocks to reduce confusion.

Try and use the correct variable for file id in custom field uploads and use the standard checksum timout as well

generateFileHash() - If we can't generate a secure, then don't generate any token

Falling back to a constant negates any security benefit of using a hash.

IMHO, the edge-case where `CIVICRM_SITE_KEY` is missing should be
obscure/rare and signifies broader problems for the deployment.  It needs to
be corrected.  If you're worried that having an error-symptom here is too
obscure, then let's add a more prominent error-message via
`CRM_Utils_Check`.

NOTE: There is one pre-existing case in core where (in absence of a key) it
procedes with a constant in lieu of a `CIVICRM_SITE_KEY` .  Specifically,
`CRM_Core_Error::generateLogFileHash()`.  That is not a good example to
follow because it is qualitiatively different:

* In `generateLogFileHash`(), `CIVICRM_SITE_KEY` functions as one of
  multiple redundant security mechanisms -- e.g.  even if
  `CIVICRM_SITE_KEY` is missing, the log file remains hard-to-access because
  (1) the DSN is part of the hash and (2) the httpd protects `ConfigAndLog`.
  (Contrast: The file-hash-code is not *redundant* in the same way.)

* In the context of logging, raising any error (even if it's real error
  condition) can provoke a weird loop (because then that error needs to be
  logged).  The log needs to avoid such loops.  (Contrast:
  `generateFileHash()` is part of the normal post-boot application logic, so
  it's free to register errors normally.)

generateFileHash() and validateFileHash() should be colocated

The two functions (`generateFileHash()` and `validateFileHash()`) are
tightly-coupled.  Most changes to one would require a matching change in the
other.  So they should be parallel.

It'd be OK to say "the hash formula is a general utility for any party using
file APIs" (so put `generateFileHash()` and `validateFileHash()` in `CRM_Core_BAO_File`).

It'd be OK to say "the hash formula is specific to the end-point/page which
serves files" (so put `generateFileHash()` and `validateFileHash()` in
`CRM_Core_Page_File`).

The former feels a bit more accurate, so I pushed it toward that.

Switch to Sha256 and add in a ttl

Further WHIP fixing hmac implementation now need to get it generating consistant hashes

Remove debugging

Block access if no Hash is supplied

security/core#26 Add in a generated Hash to download files so that URLs can't just be tested by annon users

prevent timing attacks on the contact checksum validation

Remove support for passing a filename into civicrm/file.

I can find no evidence this is used & it feels like a security risk, albeit they still need
the path

Remove unused file parameters

security/core#33 - Patch jQuery for CVE-2015-9251

See https://github.com/jquery/jquery/issues/2432#issuecomment-403761229
This will no longer be needed after upgrading to jQuery 3.x.

(NFC) Cleanup new docblocks

Follow-up security/core#25 - Consistently change interface

The previous commit 4c1e702f96403bdc84b6900027d1be61ea601321 expanded the
signature of `fillWithSql()` to accept a third argument, but it wasn't
consistent about whether the third argument was optional or required.

This makes it consistently optional (default `[]`).

Resolve security/core#25 Escape use of cacheKey to prevent SQLI when populating the prevNextCache

Security #25 Update Redis implementation to match function sig of interface function

security/core#16 - Smarty - Fix XSS in crmMoney plugin

This fixes an XSS in the crmMoney smarty plugin by checking the
currency against the currency list and adds some basic tests.

Fixes security/core#16

security/core#28 - CRM_Contact - Use uniqid() for table alias

security/core#28 - CRM_Contact - Fix SQL injection in group/tag search

This fixes various SQL injections in CRM_Contact_BAO_Query in the group
and tag search code. CRM_Contact_BAO_Query is used by the API and some
other core features such as the advanced contact search.

For CRM_Contact_BAO_Query::tag, the lack of input validation meant that
API syntax that would typically not work for other parameters works for
tag search, so the fix attempts to not break backwards-compatibility
for API calls like Contact.get tag="1, 2" (i.e. using a comma-separated
list with spaces).

security/core#32 Fix Reflected XSS in Logging Detail report

Also Purify the output of the frozen entity reference and that of a select2 output as well

Resolve #9 by purifying label of entity reference values

Merge pull request #13637 from jitendrapurohit/core737

dev/core#737 - SMS not sent if 'Send Immediately' option is chosen on…

dev/core#737 - SMS not sent if 'Send Immediately' option is chosen on the last screen

Merge pull request #13613 from colemanw/openCampaignWidget

Auto-open campaign widget and sort by start date

Auto-open campaign widget and sort by start date

Merge pull request #13599 from seamuslee001/5.11

Add in release notes for 5.10.2

Update 5.10.2.md

Update 5.10.2.md

Minor copy-edits:
* Punctuation to match other point-release docs
* Use consistent reverse-alpha in credits
* Add some more authors+reviewers from Github

Merge pull request #13593 from eileenmcnaughton/acl_regression

dev/core#721 Fix regression on refreshing group_contact cache before checking acls

Add in release notes for 5.10.2

Update release notes as per Eileen's comment

Add in notes on merge of dev/core#715 fix

Fix regression on refreshing group_contact cache before checking acls

We seem to be checking if the cache needs a rebuild and IF SO doing 2 actions
1) rebuilding it
2) permitting access to contacts related to it

When really it should do only 1) above - this patch changes as such

This seems to be whackamole off https://github.com/civicrm/civicrm-core/pull/12344
going too far one way & https://github.com/civicrm/civicrm-core/pull/13448
fixing but adding this new variant

Merge pull request #13581 from colemanw/dev/core#715

dev/core#715 - Fix delete action on RelationshipType form

dev/core#715 - Fix delete action on RelationshipType form

Merge pull request #13575 from seamuslee001/5_10_1_release_notes_11

Release notes for 5.10.1 release

Merge pull request #13572 from eileenmcnaughton/cc_511

Fix regression whereby making receive_date required breaks back offic…

Release notes for 5.10.1 release

Fix regression whereby making receive_date required breaks back office cc

Regression from https://lab.civicrm.org/dev/core/issues/680
led to https://civicrm.stackexchange.com/questions/28410/unable-to-take-credit-card-payment-after-civi-update

Set version to 5.11.beta1

Merge pull request #13552 from seamuslee001/master

Update 5.10.0.md

Update 5.10.0.md

Merge pull request #13550 from civicrm/5.10

5.10

Merge pull request #13494 from agh1/5.10.0-releasenotes

5.10.0 release notes

Merge pull request #13544 from pradpnayak/ContactImage

core/issues/698, send correct MIME type for .jpg files

5.10.0 release notes: late changes, credits, and last-minute fixes

Add release-notes/5.9.1.md

5.10.0 release notes: bulk of edits

* pulling out misc and organizing lines with gitlab issue numbers

* linking to gitlab issues

* update lines with gitlab issues to have the gitlab titles

* progress

* second pass

* finished first pass of notes

* deleting rows related to merge

* reorganizing sections

5.10.0 release notes: added boilerplate

5.10.0 release notes: raw from script

Merge pull request #13548 from civicrm/5.10

5.10 to master

Merge pull request #13536 from eileenmcnaughton/export_sc

dev/core#651 Fix group by on export soft credits (possible recent regression, clearly wrong).

Merge pull request #13547 from eileenmcnaughton/master

Re-run gencode for fix on PriceField DAO

Re-run gencode for fix on PriceField DAO

Merge pull request #13546 from civicrm/5.10

5.10 to master

Added few more mime type that needs over-ride

Merge pull request #13403 from pradpnayak/FieldLength

Donot allow to enter more than max length of the field

dev/core#651 Fix group by on export soft credits (possible recent regression, clearly wrong).

As pointed out by the reporter the group by is being calculated as if it were a string but it's an array, this fixes.

This code has been touched recently so it might be a recent regression. 5.10 is the first release in a long time where
export is working in some mysql / output configs after a big refactor to get rid of wide temp tables

core/issues/698, send correct MIME type for .jpg files

Use addField to generated form fields on Note form

Merge pull request #13537 from eileenmcnaughton/cont_comp

dev/core#680 make receive_date required on backoffice contribution form

Merge pull request #13390 from MegaphoneJon/core-609

fixes core#609 - view 'Advanced Search' links without 'view all conta…

dev/core#680 make receive_date required on backoffice contribution form
and api

Discussion on https://lab.civicrm.org/dev/core/issues/680#note_13205

Merge pull request #13535 from civicrm/5.10

5.10 to master

Merge pull request #13533 from eileenmcnaughton/prev_next

Prev next

Disable full group by mode whe groupContacts is TRUE

This prevents an error when using the cache and allows us to move
past this without untangling the messy way other tables are joined back in
for now.

Note it became necessary due to query changes off the cache but the query is no
different in accuracy

dev/core#695 - Make custom searches slightly less fragile

dev/core#679 fix loss of search results when including tags or groups.

The bug as described was a bit tricksy to replicate as it is inconsistent and the
code is not actually outputting the tags/ groups. I think these are pre-existing issues

I was able to replicate by having 2 search profiles - one with only tags & one one with only groups & switching back & and force on output -  once I replicated I found that there was a regression due to

https://github.com/eileenmcnaughton/civicrm-core/commit/2ca46d4d5a8cd15929ac0939ca2bb380a3de027e#diff-e54381bfdf51e31cab376c71ca0d66ffR4967

whereby the groupBy had been dropped, causing the results to be squashed into a single row

Merge pull request #12834 from pradpnayak/preRelHook

Respect pre hook for relationship to alter id in $params

Merge pull request #13526 from yashodha/number_widget

use number widget for weight and other numeric fields in more forms

Merge pull request #13530 from pradpnayak/FieldLength-Activity

Used field name defined in DAO file for Activity Subject

Merge pull request #13532 from pradpnayak/xmlChanges

Add html type for civicrm_note.privacy field

Merge pull request #13489 from totten/master-ro-cache

(dev/core#635) Deprecate CRM_Core_BAO_Cache for I/O. Optionally redirect I/O to Redis or Memcache.

Merge pull request #13522 from eileenmcnaughton/activity

Performance fix for alternate getActivity listing function

Remove redundant css class from activity subject field

This is now being automatically assigned thanks to the change in 6e9c7c7

Merge pull request #13527 from JMAConsulting/core-693

dev/core#693 : On contact summary page, on submitting a 'New Case' form doesn't redirect to 'Manage Case' screen

CRM_Core_BAO_Cache - When delegating to an adapter, don't expect it to return a reference

This is following up on the code-review comments from
https://github.com/civicrm/civicrm-core/pull/13489#discussion_r252070543

Merge pull request #13525 from civicrm/5.10

5.10

Add html type for civicrm_note.privacy field

Used field name defined in DAO file for Activity Subject

dev/core#693 : On contact summary page, on submitting a 'New Case' form doesn't redirect to 'Manage Case' screen