Merge pull request #13743 from greenpeace-cee/fix-tag-search

CRM/Contact - Fix fatal error on tag search

CRM/Contact - Fix fatal error on tag search

This fixes a fatal error caused by the CommaSeparatedIntegers not
accepting empty strings. This can be triggered by performing a
search with "Tag(s) IS NULL" using the search builder.

Merge pull request #13734 from eileenmcnaughton/mem

dev/membership#10 fix incorrect validation error saying Start date must be the same or later than Member since

Merge pull request #13738 from jitendrapurohit/core-768-rc

dev/core#768 - Fix fatal error on group search

Merge pull request #13737 from seamuslee001/pdf_receipts_fix_enotice

Fix up e-notice error when using a user from email address same issue…

dev/core#768 - Fix fatal error on group search

Fix up e-notice error when using a user from email address same issue as dev/core#644

dev/membership#10 fix incorrect validation error saying Start date must be the same or later than Member since

This problem is because both dates exclude time but the default setting includes it - leading to a
comparison of a datetime with a date+midnight time

Merge pull request #13723 from eileenmcnaughton/5.11

financial#46 - clean money format at form layer - Fix mistreatment of event fees > 1000 when saving

Merge pull request #13725 from JMAConsulting/CRM-21754-rc

Don't break loop if address fields not found while formatting rows in Reports

Don't break loop if address fields not found while formatting rows in Reports

Fix mistreatment of event fees > 1000 when saving

Merge pull request #13721 from MegaphoneJon/5.11

financial#46 - clean money format at form layer

Merge pull request #13711 from greenpeace-cee/fix-multi-currency-soft-credit

dev/core#756 - CRM/Contribute - Fix multi-currency soft credit summary

financial#46 - clean money format at form layer

dev/core#756 - CRM/Contribute - Fix multi-currency soft credit summary

This fixes an exception caused by multiple currencies being passed to
CRM_Utils_Money::format. It also resolves some inconsistencies in how
the summary table is rendered for soft credits.

Merge pull request #13709 from JMAConsulting/dev-core#757-rc

Viewing Contact Note comments is broken in 5.10.4.

Viewing Contact Note comments is broken in 5.10.4.
Update Javascript to use Note-NNNNN rather than cnote_NNNN as the ID of Note rows.
Completes change started in commit 57abcbbf5cf85b1266377e0ad9af4fb5865d5bc0.

Merge pull request #13683 from seamuslee001/5_11_5_10_4_Release_Notes

Add in 5.10.4 Release notes

Add in 5.10.4 Release notes

Merge pull request #13673 from eileenmcnaughton/511geocode

Remove tests that no longer work due to dead service

Merge pull request #13663 from seamuslee001/lab_core_747

Hotfix for dev/core#747 To fix generation of contact image urls

Extract checking of filename into own function and add tests

Merge pull request #13670 from MegaphoneJon/reporting-10-rc

reporting#10 - fix pagination on Contribution Detail report

Remove tests that no longer work due to dead service

reporting#10 - fix pagination on Contribution Detail report

CRM_Core_Page_File - Only delivers directly under the customFileUploadDir

CRM_Core_Page_File - Fix warning when using filename mode

The idea here is that `id+eid+fcs` and `filename` are two separate modes.
In `filename` mode, you don't need warnings about the missing `fcs`.

CRM_Core_Page_File - More consistent capitalization/prose

Merge pull request #13662 from seamuslee001/hotfix_746

Deploy hotfix to fix dev/core#746 until tests can be written for fix

Deploy hotfix to fix dev/core#746 until tests can be written for fix

Fix GroupContactCacheTest

Hotfix for dev/core#747 To fix generation of contact image urls

Merge pull request #13660 from seamuslee001/5.11

5.11 - merge in security

release-notes/5.10.3.md - Update "Feedback" to be... closer to reality wrt SA's

release-notes/5.10.3.md - TOC should match actual headings

Add in 5.10.3 Security Release Notes

Fix file e-notice by using the correct url variables

Fix variables to match image file hash generation

CRM_Profile_Form - Add fcs for download link on custom field

(REF) Clearer docblocks and file names

Fix multiple issues with file URLs. Use clearer variables and docblocks to reduce confusion.

Try and use the correct variable for file id in custom field uploads and use the standard checksum timout as well

generateFileHash() - If we can't generate a secure, then don't generate any token

Falling back to a constant negates any security benefit of using a hash.

IMHO, the edge-case where `CIVICRM_SITE_KEY` is missing should be
obscure/rare and signifies broader problems for the deployment.  It needs to
be corrected.  If you're worried that having an error-symptom here is too
obscure, then let's add a more prominent error-message via
`CRM_Utils_Check`.

NOTE: There is one pre-existing case in core where (in absence of a key) it
procedes with a constant in lieu of a `CIVICRM_SITE_KEY` .  Specifically,
`CRM_Core_Error::generateLogFileHash()`.  That is not a good example to
follow because it is qualitiatively different:

* In `generateLogFileHash`(), `CIVICRM_SITE_KEY` functions as one of
  multiple redundant security mechanisms -- e.g.  even if
  `CIVICRM_SITE_KEY` is missing, the log file remains hard-to-access because
  (1) the DSN is part of the hash and (2) the httpd protects `ConfigAndLog`.
  (Contrast: The file-hash-code is not *redundant* in the same way.)

* In the context of logging, raising any error (even if it's real error
  condition) can provoke a weird loop (because then that error needs to be
  logged).  The log needs to avoid such loops.  (Contrast:
  `generateFileHash()` is part of the normal post-boot application logic, so
  it's free to register errors normally.)

generateFileHash() and validateFileHash() should be colocated

The two functions (`generateFileHash()` and `validateFileHash()`) are
tightly-coupled.  Most changes to one would require a matching change in the
other.  So they should be parallel.

It'd be OK to say "the hash formula is a general utility for any party using
file APIs" (so put `generateFileHash()` and `validateFileHash()` in `CRM_Core_BAO_File`).

It'd be OK to say "the hash formula is specific to the end-point/page which
serves files" (so put `generateFileHash()` and `validateFileHash()` in
`CRM_Core_Page_File`).

The former feels a bit more accurate, so I pushed it toward that.

Switch to Sha256 and add in a ttl

Further WHIP fixing hmac implementation now need to get it generating consistant hashes

Remove debugging

Block access if no Hash is supplied

security/core#26 Add in a generated Hash to download files so that URLs can't just be tested by annon users

prevent timing attacks on the contact checksum validation

Remove support for passing a filename into civicrm/file.

I can find no evidence this is used & it feels like a security risk, albeit they still need
the path

Remove unused file parameters

security/core#33 - Patch jQuery for CVE-2015-9251

See https://github.com/jquery/jquery/issues/2432#issuecomment-403761229
This will no longer be needed after upgrading to jQuery 3.x.

(NFC) Cleanup new docblocks

Follow-up security/core#25 - Consistently change interface

The previous commit 4c1e702f96403bdc84b6900027d1be61ea601321 expanded the
signature of `fillWithSql()` to accept a third argument, but it wasn't
consistent about whether the third argument was optional or required.

This makes it consistently optional (default `[]`).

Resolve security/core#25 Escape use of cacheKey to prevent SQLI when populating the prevNextCache

Security #25 Update Redis implementation to match function sig of interface function

security/core#16 - Smarty - Fix XSS in crmMoney plugin

This fixes an XSS in the crmMoney smarty plugin by checking the
currency against the currency list and adds some basic tests.

Fixes security/core#16

security/core#28 - CRM_Contact - Use uniqid() for table alias

security/core#28 - CRM_Contact - Fix SQL injection in group/tag search

This fixes various SQL injections in CRM_Contact_BAO_Query in the group
and tag search code. CRM_Contact_BAO_Query is used by the API and some
other core features such as the advanced contact search.

For CRM_Contact_BAO_Query::tag, the lack of input validation meant that
API syntax that would typically not work for other parameters works for
tag search, so the fix attempts to not break backwards-compatibility
for API calls like Contact.get tag="1, 2" (i.e. using a comma-separated
list with spaces).

security/core#32 Fix Reflected XSS in Logging Detail report

Also Purify the output of the frozen entity reference and that of a select2 output as well

Resolve #9 by purifying label of entity reference values

Merge pull request #13637 from jitendrapurohit/core737

dev/core#737 - SMS not sent if 'Send Immediately' option is chosen on…

dev/core#737 - SMS not sent if 'Send Immediately' option is chosen on the last screen

Merge pull request #13613 from colemanw/openCampaignWidget

Auto-open campaign widget and sort by start date

Auto-open campaign widget and sort by start date

Merge pull request #13599 from seamuslee001/5.11

Add in release notes for 5.10.2

Update 5.10.2.md

Update 5.10.2.md

Minor copy-edits:
* Punctuation to match other point-release docs
* Use consistent reverse-alpha in credits
* Add some more authors+reviewers from Github

Merge pull request #13593 from eileenmcnaughton/acl_regression

dev/core#721 Fix regression on refreshing group_contact cache before checking acls

Add in release notes for 5.10.2

Update release notes as per Eileen's comment

Add in notes on merge of dev/core#715 fix

Fix regression on refreshing group_contact cache before checking acls

We seem to be checking if the cache needs a rebuild and IF SO doing 2 actions
1) rebuilding it
2) permitting access to contacts related to it

When really it should do only 1) above - this patch changes as such

This seems to be whackamole off https://github.com/civicrm/civicrm-core/pull/12344
going too far one way & https://github.com/civicrm/civicrm-core/pull/13448
fixing but adding this new variant

Merge pull request #13581 from colemanw/dev/core#715

dev/core#715 - Fix delete action on RelationshipType form

dev/core#715 - Fix delete action on RelationshipType form

Merge pull request #13575 from seamuslee001/5_10_1_release_notes_11

Release notes for 5.10.1 release

Merge pull request #13572 from eileenmcnaughton/cc_511

Fix regression whereby making receive_date required breaks back offic…

Release notes for 5.10.1 release

Fix regression whereby making receive_date required breaks back office cc

Regression from https://lab.civicrm.org/dev/core/issues/680
led to https://civicrm.stackexchange.com/questions/28410/unable-to-take-credit-card-payment-after-civi-update

Set version to 5.11.beta1

Merge pull request #13552 from seamuslee001/master

Update 5.10.0.md

Update 5.10.0.md

Merge pull request #13550 from civicrm/5.10

5.10

Merge pull request #13494 from agh1/5.10.0-releasenotes

5.10.0 release notes

Merge pull request #13544 from pradpnayak/ContactImage

core/issues/698, send correct MIME type for .jpg files

5.10.0 release notes: late changes, credits, and last-minute fixes

Add release-notes/5.9.1.md

5.10.0 release notes: bulk of edits

* pulling out misc and organizing lines with gitlab issue numbers

* linking to gitlab issues

* update lines with gitlab issues to have the gitlab titles

* progress

* second pass

* finished first pass of notes

* deleting rows related to merge

* reorganizing sections

5.10.0 release notes: added boilerplate

5.10.0 release notes: raw from script

Merge pull request #13548 from civicrm/5.10

5.10 to master

Merge pull request #13536 from eileenmcnaughton/export_sc

dev/core#651 Fix group by on export soft credits (possible recent regression, clearly wrong).

Merge pull request #13547 from eileenmcnaughton/master

Re-run gencode for fix on PriceField DAO

Re-run gencode for fix on PriceField DAO

Merge pull request #13546 from civicrm/5.10

5.10 to master

Added few more mime type that needs over-ride

Merge pull request #13403 from pradpnayak/FieldLength

Donot allow to enter more than max length of the field

dev/core#651 Fix group by on export soft credits (possible recent regression, clearly wrong).

As pointed out by the reporter the group by is being calculated as if it were a string but it's an array, this fixes.

This code has been touched recently so it might be a recent regression. 5.10 is the first release in a long time where
export is working in some mysql / output configs after a big refactor to get rid of wide temp tables

core/issues/698, send correct MIME type for .jpg files

Use addField to generated form fields on Note form

Merge pull request #13537 from eileenmcnaughton/cont_comp

dev/core#680 make receive_date required on backoffice contribution form

Merge pull request #13390 from MegaphoneJon/core-609

fixes core#609 - view 'Advanced Search' links without 'view all conta…

dev/core#680 make receive_date required on backoffice contribution form
and api

Discussion on https://lab.civicrm.org/dev/core/issues/680#note_13205