Merge pull request #18217 from mattwire/orderapicleanup

Minor code cleanup to Order API

Minor code cleanup to Order API

Merge pull request #18215 from civicrm/5.29

5.29

Merge pull request #18206 from chamilwijesooriya/issue-1959

dev/core#1959 Brick\Math\Exception\RoundingNecessaryException

Merge pull request #18213 from eileenmcnaughton/is_deleted

Fix regression whereby deleted contacts are in quicksearch results

Fix regression whereby deleted contacts are in quicksearch results

dev/core#1959 Brick\Math\Exception\RoundingNecessaryException

Merge pull request #18211 from totten/master-resg

(NFC) Add some tests to the `resources` group

Merge pull request #18210 from civicrm/5.29

5.29

(NFC) Add some tests to the `resources` group

Merge pull request #18205 from demeritcowboy/expandy

dev/core#1963 - Expanded icon on manage groups appears as unknown icon

Merge pull request #18204 from eileenmcnaughton/529

dev/core#1961 Fix regression - cancel button not working on recurring contributions

specify font

dev/core#1961 Fix regression - cancel button not working on recurring contributions

Note this form only shows for some processors. To test an easy way is to edit
CRM_Core_Payment::supportsCancelRecurring to return FALSE

Then attempt to cancel a recurring contribution - the cancel button does not launch a form
without this.

Regression from
https://github.com/civicrm/civicrm-core/pull/17178/files#diff-63d76bd172c85725aaf2e76247b86354L11

https://lab.civicrm.org/dev/core/-/issues/1961

Merge pull request #18203 from civicrm/5.29

5.29

Merge pull request #18200 from seamuslee001/5.29

(dev/core#1846) Container, ClassLoader Caches - Separate caches by ve…

(dev/core#1846) Container, ClassLoader Caches - Separate caches by version number

Before
------

If you load a new version of the CiviCRM codebase, then a freshness check
should cause the container cache to reset automatically (based on the fact
that various files have new timestamps).

However, it's possible that some kind of bug or omission prevents this from working.
Many developers won't notice such a bug because they're obsessive-compulsive
about clearing caches anyway.

After
-----

If you load a new version of the CiviCRM codebase, then it should use a new
container cache - regardless of how well the freshness check works.

Merge pull request #18195 from colemanw/customValueSave

APIv4 - Fix output of CustomValue create/save/update

Merge pull request #18199 from civicrm/5.29

5.29

Jenkins style fix

APIv4 - Fix output of CustomValue create/save/update

Before: output contained no useful data
After: output contains values and id

Copy-edits for 5.28.1.md

Add in release notes for 5.28.1

Merge pull request #18197 from mattwire/removefirstcontribution

Remove first_contribution key from repeattransaction

Remove first_contribution key from repeattransaction

Merge pull request #18182 from colemanw/severity

Remove unnecessary transformation of upgrade msg severity

Merge pull request #18114 from eileenmcnaughton/phone

Metadata fix - phone_type_id, location_type_id, gender_id

Merge pull request #18168 from twocs/patch-4

Check if $post defined before trying to use its field values.

security/core#95 Purify Summary and description fields for events on the event info and event cart screens

security/core#96 Escape the profile description field

Apply edit groups permission check to the button not the generaal permissionedForGroup check

[REF] Only show button to edit smart group if user has permissions

Security/core#61 Limit Access to update smart group task to only if the logged in user has edit groups permission.

Put a permission restriction on loading page without manage groups permission when saved search id is specified in the URL

security/core#94 Escape subject content when loading the Activity list for a contact

Fix auto-refresh of CKEditor configurator form

Convert CK Config form to quickform

CKEditor Config - Validate input before saving config file

Also removes support for 'customConfig' supplimental file.

CRM_Utils_JS - Improve validation of strings

Runs strings through json_decode to ensure they are valid.
Optionally throws an exception on error.

security/core#78 Purify HTML of activity details field when viewing the activity

CRM_Core_Key - Strengthen signature algorithm

This alters the qfKey signature algorithm, with a few aims:

1.  If someone wants to perform a brute-force to figure the per-session
    private-key, we want it go slow.  Therefore, use a slower hash (ie
    HMAC-SHA256 instead of MD5).

2.  If someone performs a timing attack aimed at figuring a passable qfKey,
    the execution-time for `validate()` should not provide any hints.

3.  If someone finds a way to manipulate one of the constituent parts
    ($sessionID, $name, $privateKey), we want it to be hard to create a
    collsion. So... (a) Use HMAC instead of a vanilla hash. (b) Use delimiters
    between the data sections ($sessionID, $name).

CRM_Core_Key - Improve entropy of "privateKey"

In PHP 4/5, there was no good, universal source of entropy.  The old code
mitigated this by aggregating mediocre sources.  On my system, it appears
to be roughly:

* 2^31 for each `mt_rand()`
* 10^8 =~ 2^26 for each `uniqid(...TRUE)` (after discounting the non-random right half of the uniqid).

So that's ~114 bits (albeit low-quality bits).

In PHP 7, the docs describe `random_bytes()` as "generat[ing] cryptographically secure pseudo-random bytes."

Additional code from Drupal's implementation

Update to use code from Drupal's patch

Patch jQuery for CVE-2020-11022 and CVE-2020-11023

security/core#81 Escape html in CRM_Core_LegacyErrorHandler messages

security/core#74 Prevent CSRF in CKEditor Config screen by switching to using Quickform built form

Merge pull request #18193 from civicrm/5.29

5.29 to master

Merge pull request #18180 from eileenmcnaughton/recur

dev/core#1945 Fix recur access regression

Merge pull request #18188 from demeritcowboy/mysqli-mysql

Put mysql back in civicrm.settings.php template

dev/core#1945 Fix recur access regression

Merge pull request #18189 from demeritcowboy/widget-notice

E_NOTICE on contribution page widget tab

e_notice on widget tab

put mysql back

Merge pull request #18183 from colemanw/versionCheck

CRM_Utils_VersionCheck - respect force param

Merge pull request #18174 from demeritcowboy/d8-upgrade-warning

dev/core#1937 - Upgrade message about needing composer patching turned on and updating mysql in DSN strings

Merge pull request #18187 from seamuslee001/master

5.29

Merge in 5.29

Merge pull request #18185 from civicrm/revert-18091-xbutton-529

Revert "Swap out button/submit inputs for button elements"

Merge pull request #18184 from totten/master-dao

(NFC) Update various DAO checksums

Revert "Swap out button/submit inputs for button elements"

upgrade message about composer patches

Update various DAO checksums

Merge pull request #18169 from demeritcowboy/no-discount

E_WARNING when saving event fees admin page if there's no discounts set

CRM_Utils_VersionCheck - respect force param

Remove unnecessary transformation of upgrade msg severity

Merge pull request #18181 from colemanw/upgrademsg

Upgrade screen - show success instead of error if already upgraded

Upgrade screen - show success instead of error if already upgraded

Merge pull request #18177 from eileenmcnaughton/gross

Processors - remove gross_amount param from processors

Merge pull request #18173 from civicrm/5.29

5.29

Merge pull request #18176 from agileware/CIVICRM-1465

{contribution.receipt_date} token does not use any CiviCRM date formatter, output in YYYY-MM-DD HH:MM:SS format and {contribution.receive_date} also uses a non-standard format

Processors - remove gross_amount param from processors

The gross_amount param is returned by a bunch of processors but is not used so this removes it.

The core processors are often used as a starting point for extensions - we can see for example
this parameter is present in IATS so removing it helps clarify it as unnecessary & unused

Merge pull request #18175 from demeritcowboy/installation-doclinks

Installation doclinks not getting url-rewritten

Merge pull request #18170 from eileenmcnaughton/testc

Minor cleanup in test class

installation doclinks

Merge pull request #18171 from demeritcowboy/unused-UTF8

[REF] Deprecate unused SQL temptable functions

Merge pull request #18166 from demeritcowboy/cvv-required

cvv required html attribute should depend on backoffice setting

Merge pull request #18154 from highfalutin/patch-5

Mass SMS: Limit group selection to mailing groups

Merge pull request #18172 from demeritcowboy/utilsarray-isset

[REF] Update recent replacement for CRM_Utils_Array::value

deprecate unused functions

update replacement for utils_array::value

Merge pull request #18165 from civicrm/5.29

5.29

Minor cleanup in test class

Merge pull request #18157 from mattwire/utilsarraycontributionmembership

Replace CRM_Utils_Array::value in contribution/confirm and bao/membership

element doesn't exist if there's no discounts set

Check if $post defined before trying to use its field values.

Admin pages (e.g. in a custom plugin) may see $post as undefined. The existing usage to get permalinks for these pages can fill debug logs with PHP Notices.

required

Merge pull request #18163 from seamuslee001/5.29

[REF] Remove unnecessary comma

[REF] Remove unnecessary comma

Merge pull request #18159 from civicrm/5.29

5.29

Replace CRM_Utils_Array::value in CRM_Member_BAO_Membership

Merge pull request #18133 from eileenmcnaughton/utf529

Fix 5.29 (unreleased) regression using temp tables

Replace CRM_Utils_Array::value in CRM_Contribute_Form_Contribution_Confirm

Merge pull request #18155 from eileenmcnaughton/member_order

Remove legacy handling for 'fixing' line_item.entity_id

Merge pull request #18156 from eileenmcnaughton/renew

Remove deprecated code ids['userId']

Remove deprecated code ids['userId']

These lines were deprecated 7 months ago and were pretty edge case to start with

Remove legacy handling for 'fixing' line_item.entity_id

I tried to see what was happening with the test in https://github.com/civicrm/civicrm-core/pull/18113
and spotted that it wasn't using Order.api so the line items were likely wrong. However, once I set
it up to use the Order api I found the code we added back in 2018 to attempt to cope with other code
setting entity_id incorrectly was actually itself setting entity_id incorrectly. The issue
happens when there are 2 Memberships linked to one contribution & the removed code 'decides'
one is wrong and alters it. https://github.com/civicrm/civicrm-core/pull/11816

This line of code throws a deprecation notice - which has not been reported / apparently seen in the last
couple of years so I'm assuming it's not actually doing any good and without removing it this test actually
fails

Mass SMS: Limit group selection to mailing groups

To populate the selector for mass SMS recipients, the form calls CRM_Core_PseudoConstant::nestedGroup(). However the function call was missing an argument, so all groups were being returned, not just mailing groups as intended. This PR corrects the mistake.

Merge pull request #18142 from seamuslee001/ref_space_currency

[REF] Remove usages of CRM_Utils_Money::format that pass in a blank s…

Merge pull request #18148 from civicrm/5.29

5.29

Merge pull request #18151 from eileenmcnaughton/money

Use more appropriate money format function