Merge pull request #3894 from nextcloud/downstream-27008

Integration test check download without saving file locally

Merge pull request #3856 from nextcloud/escape-likes-in-database-user-backend

Escape like parameters in database user backend

Merge pull request #3870 from nextcloud/add-base-uri-to-csp-policy

Add base-uri to CSP policy

Merge pull request #3874 from nextcloud/harden-js-by-disabling-eval-execution

Harden JS by disabling jQuery eval

Merge pull request #3875 from nextcloud/use-new-short-urls

Use cleaner social media URLs

Integration test check download without saving file locally

Use Guzzle stream mode to download the contents instead of using a
temporary local file.

Signed-off-by: Morris Jobke <hey@morrisjobke.de>

Merge pull request #2824 from nextcloud/ext-storage-expireversions

Properly expire ext storage versions (#26601)

Merge pull request #3619 from nextcloud/fix-scss-for-apps

Fix SCSS usage in apps

[tx-robot] updated from transifex

Use cleaner social media URLs

We now have nice cleaner URLs since a longer time, let's use them.

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3679 from nextcloud/socialsharing

Add social sharing

Harden JS by disabling jQuery eval

Disable execution of eval in jQuery. We do require an allowed eval CSP
configuration at the moment for handlebars et al. But for jQuery there is
not much of a reason to execute JavaScript directly via eval.

This thus mitigates some unexpected XSS vectors. As example try to insert
`$('.fileinfo').html('<a href="asd"><script>alert(1)</script></a>');`
with and without this patch in your browsers JS console when the file list
is opened.

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3862 from nextcloud/dont-set-the-status-twice

Don't set the HTTP status twice

Don't call function in constructor

The constructor is iniitiated already very early in base.php, thus requiring this here will break the setup and some more. For now we probably have to live with a static function call here thus.

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Adjust integration test

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3008 from nextcloud/appmenu-experiment

Show apps in header

Adjust tests to include base-uri

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3863 from nextcloud/additional-hardening-of-t

Harden t() with DOMPurify

Add base-uri to CSP policy

As per https://twitter.com/we1x/status/842032709543333890 a nice security hardening

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Harden t() with DOMPurify

This mitigates issues where developers pass untrusted user-input through t() which may lead to XSS issues.

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3860 from nextcloud/fix_master_after_3802

Fix unit tests of master

Don't set the HTTP status twice

Signed-off-by: Joas Schilling <coding@schilljs.com>

Fix unit tests of master

Follow up to #3802

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

Merge pull request #3802 from Ko-/master

Check that set_time_limit is not disabled before calling it

Merge pull request #3857 from nextcloud/issue-3901-legacy-caldav-endpoint-email-invitations

Fix scheduling plugin on legacy caldav endpoint

Fix html formating issues

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Rebuild menu to keep order of icons correct

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Reduce device width and hide app name when menu is open

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Make enabling/disabling apps work with the new menu

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Fix positioning of popovermenu

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Fix popover positioning after window resize

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Cleanup SCSS for app menu and fix mobile view

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Make app management icon act like a normal app icon

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Fix menu issues

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Generate seperate menu list for header bar

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Move active app to the first slot

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Show app icons in the header

Signed-off-by: Julius Haertl <jus@bitgrid.net>

Add warning on admin screen when set_time_limit is unavailable

Fix scheduling plugin on legacy caldav endpoint

Signed-off-by: Joas Schilling <coding@schilljs.com>

Merge pull request #3624 from marncz/master

Update.js: countdown feedback before redirect

[tx-robot] updated from transifex

Escape like parameters in database user backend

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3788 from nextcloud/fed-share-modify

Add api to change the remote of an incoming federated share

Merge pull request #3843 from nextcloud/encryption-fix-mail-share

take share by mail into consideration if we calculate the access list

Merge pull request #3848 from nextcloud/remove-single-quotes-around-search-query

Remove single quotes around search query like in user search

Remove single quotes around search query like in user search

Signed-off-by: Joas Schilling <coding@schilljs.com>

Merge pull request #3841 from nextcloud/encyryption-trash-bin

Delete files on encryption error

Spacing

Signed-off-by: marncz <M.Czarnecki1@uni.brighton.ac.uk>

Fix layout of sharing buttons

Signed-off-by: Morris Jobke <hey@morrisjobke.de>

[tx-robot] updated from transifex

Update: feedback before redirect

Signed-off-by: marncz <M.Czarnecki1@uni.brighton.ac.uk>

Merge pull request #3838 from Xuanwo/basename-fix

[OC/Files/Cache]: Fix wrong usage of basename

Merge pull request #3829 from nextcloud/reshares-in-folder

switch reshares to true (display reshares in the folder/filelist)

fix mock

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

switch reshares to true

Signed-off-by: Maxence Lange <maxence@nextcloud.com>

Merge pull request #3836 from nextcloud/do-not-double-check-app-update

Do not check for app update twice

take share by mail into consideration if we calculate the access list

Signed-off-by: Bjoern Schiessle <bjoern@schiessle.org>

Merge pull request #3600 from coletivoEITA/master

added method needsPartFile() in Storage

Merge pull request #3783 from andrius-kulbis/master

Fix deleted objectstore shares

Merge pull request #3824 from nextcloud/dav-search-getlastmodified

fix searching and ordering on getlastmodified

safer casting of datetime

Signed-off-by: Robin Appelman <robin@icewind.nl>

added method needsPartFile() in Storage

Signed-off-by: Vinicius Cubas Brand <viniciuscb@gmail.com>

delete files right away in case of a encryption exception

Signed-off-by: Bjoern Schiessle <bjoern@schiessle.org>

always throw a encryption exception

Signed-off-by: Bjoern Schiessle <bjoern@schiessle.org>

[OC/Files/Cache]: Fix wrong usage of basename

Fix https://github.com/nextcloud/server/issues/3837

Signed-off-by: Xuanwo <xuanwo@yunify.com>

[tx-robot] updated from transifex

Do not double cherck app update

In base.php the apps are already checked for an update. No need to
repeat this during loading of the app.

Signed-off-by: Morris Jobke <hey@morrisjobke.de>

Merge pull request #3827 from nextcloud/issue-3826-remove-double-password-confirmation

Remove the double password confirmation on changing cron

fix unit test

Signed-off-by: Morris Jobke <hey@morrisjobke.de>

Merge pull request #3828 from nextcloud/no-no-empty-wildcard-search

dont allow empty wildcard search

Merge pull request #3648 from nextcloud/sabre-3.2.2

[3rdparty] Bump sabre/dav to 3.2.2

dont allow empty wildcard search

Signed-off-by: Robin Appelman <robin@icewind.nl>

Remove the double password confirmation on changing cron

Signed-off-by: Joas Schilling <coding@schilljs.com>

Merge pull request #3822 from nextcloud/webui-upoad-no-mtime

dont preserve mtime when uploading trough the web interface

Merge pull request #3814 from nextcloud/oc-27328-delay-language-initialisation

use closure to properly defer l10n initialization (#27328)

Merge pull request #3819 from nextcloud/dont-add-user-to-subadmin

Call right function after sudo mode

fix searching and ordering on getlastmodified

Signed-off-by: Robin Appelman <robin@icewind.nl>

dont preserve mtime when uploading trough the web interface

Signed-off-by: Robin Appelman <robin@icewind.nl>

Merge pull request #3780 from GitHubUser4234/audit_log_agent

Audit log the User-Agent

Merge pull request #3803 from Thijsdh/master

Create app password by pressing enter

Call right function after sudo mode

This should call the `applyGroupSelect` and not the `applySubadminSelect`.

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Create app password by pressing enter

Signed-off-by: Thijs den Hartog <Thijs@thijsbeer.nl>

use closure to properly defer l10n initialization (#27328)

Merge pull request #3772 from nextcloud/favorite-search

Allow searching for favorites

[tx-robot] updated from transifex

[tx-robot] updated from transifex

Check that set_time_limit is not disabled before calling it

Signed-off-by: Ko- <k.stoffelen@cs.ru.nl>

Merge pull request #3739 from fti7/master

Serve robots.txt if the RewriteBase is configured

[tx-robot] updated from transifex

Properly expire ext storage versions (#26601)

* Properly expire ext storage versions

System-wide external storages have no real owner so the current user is
used as owner. However when running cron.php there is no current user,
so no expiry can be done.

This fix adds an user argument to the expire() function to tell for
which user to expire files. This information is anyway always available
now through the expire command job.

* Move version expire setupFS into the expire function

* Add comment about not tearing down in version Storage::expire()

Signed-off-by: Lukas Reschke <lukas@statuscode.ch>

Merge pull request #3798 from nextcloud/fix-login

Fix login page, because only guest.css is loaded now

Fix login page, because only guest.css is loaded now

Signed-off-by: Morris Jobke <hey@morrisjobke.de>

Merge pull request #3755 from nextcloud/scan-tipstricks

Add security scan to tips & tricks section

Make intergration tests work again

The regex was to greedy

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

Fix tests

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

[3rdparty] Bump sabre/dav to 3.2.2

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

Properly calculate webdir using the serverroot

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

SCSS files don't exist on the default fs so just add them to the
resource list

Signed-off-by: Roeland Jago Douma <roeland@famdouma.nl>

Merge pull request #3774 from artem-sidorenko/posix-exit-1

Exit with error code if posix ext missing or wrong user

Merge pull request #3778 from nextcloud/verify_jpg_files

Test if a file is a valid jpg file