Force replace some HTML tags before sending messages to the search index

Stripping the HTML can cause certain words to be accidentally joined when there is no symbol between them that is recognized by the tokenizer. Inserting a whitespace at tag positions that are known to be prone is a stop-gap solution until we find a more stable replacement strategy.

See #4652 and WoltLab/com.woltlab.wcf.elasticSearch#14

Merge pull request #5372 from WoltLab/article-permissions

Fix several article related permissions

Check edit permissions before showing edit link in ACP's article list

Unify visibility of articles in ACP's article list with frontend

Allow users that may contribute articles to see their own articles independent of publication status in lists

Unify default publication status for users that may manage articles and users that may manage their own articles

Allow users that may manage own articles to view them independent of publication status

Allow users that may manage own articles to actually create articles

Update to TypeScript 5.0

Update eslint

Release 5.5.10

Merge branch '5.4' into 5.5

Release 5.4.26

Merge branch '5.3' into 5.4

Release 5.3.27

Updating minified JavaScript files

Merge branch '5.4' into 5.5

Merge branch '5.3' into 5.4

Merge branch 'edit-permissions' into 5.3

Release 5.5.10 dev 1

Updating minified JavaScript files

Fix the handling of external links in the mobile main menu

See https://www.woltlab.com/community/thread/299236-externe-hauptmen%C3%BC-links-werden-trotz-einstellung-im-acp-mobil-nicht-in-neuem-tab/

Check if the article is readable in Article::canEdit()

Previously an editor could access the contents of an inaccessible article by
directly navigating to the edit form.

Merge pull request #5353 from WoltLab/article-edit

Fix Article::canEdit() permission for article contributors

Fix Article::canEdit() permission for article contributors

The previous return value was non-sense, because `false` is already the
default. Users that may contribute articles may edit their own articles until
they are published, thus this must `return true`.

This was introduced in a40df44c036bd6201e4e8f9cef5fb878dba4dd4f.

Merge pull request #5344 from nice42q/patch-1

Resize Upright Videos

Merge pull request #5347 from WoltLab/user-option-disabled

Check if a user option is disabled in UserOption::isVisible() and ::isEditable()

Check if a user option is disabled in UserOption::isVisible() and ::isEditable()

see https://www.woltlab.com/community/thread/299193-gender-birthday-location-still-shows-in-profile-even-if-the-fields-are-disabled/

Merge pull request #5343 from WoltLab/media-clipboard-bad-merge

Fix bad merge in Media/Clipboard.ts

Resize Upright Videos

'vh' 1% of the viewport's height.

Responsive style for all devices

Fix bad merge in Media/Clipboard.ts

The `_didInit = true` assignment added in
3510ed70b5abcd0786cca33469812b2781024cc9 got lost during the TypeScript
transformation in b5030e676de80fc60f7619c0149999cfed394499.

Fixes #5341

Updating minified JavaScript files

Update npm dependencies in extra/

Merge pull request #5340 from WoltLab/x-frame-options-phrase

Drop misleading “deprecated” note in `wcf.acp.option.http_send_x_frame_options`

Drop misleading “deprecated” note in `wcf.acp.option.http_send_x_frame_options`

Not the “disallowing of frame embeds” is deprecated, but the disabling of the
disallowing. This becomes clear when reading the description, but not when just
reading the option name + parenthesis.

Drop the parenthesis entirely, the description is quite clear and the ACP index
page will also show a warning if the option still is enabled.

see https://www.woltlab.com/community/thread/299182-einbindung-in-einem-frame-verhindern-veraltet-nicht-empfohlen/

Fix missing deletion of articles after deletion of a category

Fix missing custom confirm messages when deleting categories

Fix missing deletion of subscriptions of article categories

Deleting article categories did not remove attached subscriptions.

Suppress the HTML encoding of values encoded by `|encodeJS`

This causes entities to be encoded, but the implementation expects them to be plain text.

See https://www.woltlab.com/community/thread/298737-sonderzeichen-in-umfragen/

Handle `NULL` groupDescription in UserGroup::getDescription()

see a48f51b3c73abff7e4fe9a5016b976682cb5ab3c
see #4694

Fix exception when editing a user rank with a broken image

Closes #4860

Update GitHub workflows to node.js 18

Create the initial article category with explicit description

see #5323

Fix PHP 8.1 compatibility in AbstractCategoryEditForm for NULL description

see #5323

Fix stack trace rendering for strings with single quotes

Merge pull request #5311 from WoltLab/about-me-validation

Fix aboutMe validation

Reduce the maximum length for the aboutMe and signature to 65000

This is a nice round number and gives some additional wiggle room for HTML
processing changes in UserRebuildDataWorker before the hard limit is actually
reached and contents will need to be dropped.

Fix length comparison for aboutMe text in UserRebuildDataWorker

Contrary to the comment's claim, a `TEXT` column supports 65535 characters
(depending on the charset), not 65535 bytes.

Fix validation in AboutMeOptionType

The validation method previously checked the original input, not the processed
input. This possibly allowed the user to hide words from the Censorship,
because the HTMLPurifier removes elements, resulting in a semantic change. For
example: `Bad<script></script>word` will be `Badword` after purification.

For the length validation this might result in outputs exceeding the hard 65535
character limit (which is also the maximum configurable length in the user
group option).

This is fixed by checking:

1. The text content against the user group option as done everywhere.
2. The text content against the censorship as done everywhere.
3. The HTML content against the hard limit.

Drop obsolete update_com.woltlab.wcf_5.5.9_systemId.php

Merge pull request #5307 from WoltLab/unfurl-language

Add `accept-language` header to Unfurling requests

Add `accept-language` header to Unfurling requests

The default language is preferred, but any language is acceptable with a lower
priority.

see https://www.woltlab.com/community/thread/299002-imdb-english-embed-links-displaying-german-text/

Release 5.5.9

Release 5.5.9 dev 2

Updating minified JavaScript files

Release 5.5.9 dev 1

Update npm dependencies

Improve the vertical alignment in case no direction has enough space

See https://www.woltlab.com/community/thread/298831-l%C3%B6schen-in-der-mobilen-ansicht-nicht-sichtbar/

Prevent the Instagram iframe from overlapping other elements

See https://www.woltlab.com/community/thread/298758-medienanbieter-instagram-%C3%BCberlappt-content/

Fix the replacement of the encoded apostrophe

See https://www.woltlab.com/community/thread/298815-desktopbenachrichtigungen-stellen-apostroph-nicht-korrekt-dar/

Enforce the minimum height of filtered checkbox lists dynamically

See https://www.woltlab.com/community/thread/298850-mulitselect-felder-werden-gr%C3%B6%C3%9Fer-angezeigt-als-notwendig-nach-update-auf-5-5/

Merge pull request #5262 from WoltLab/avatar-extension-validation

Validate the avatar mime type against the extension list

Add safety abort in UserAvatarEditor::createAvatarVariant() for WebP originals

Validate the avatar mime type against the extension list

see https://www.woltlab.com/community/thread/298731-avatar-upload-pr%C3%BCft-lediglich-dateiendnung-aber-nicht-das-format/

Merge pull request #5240 from WoltLab/style-import-template-modification-time

Update template’s modification time when updated via style import

Update template’s modification time when updated via style import

Fixes #5235

Merge pull request #5231 from WoltLab/system-check-opcache

Check OPcache in SystemCheckPage

Add update_com.woltlab.wcf_5.5.9_systemId.php

Check OPcache in SystemCheckPage

Resolves #5230

Merge branch '5.4' into 5.5

Release 5.5.8

Release 5.4.25

Merge branch '5.3' into 5.4

Release 5.3.26

Merge branch '5.4' into 5.5

Merge branch '5.3' into 5.4

Merge branch 'xss-activation' into 5.3

Automatically detect HTTP codeblocks

Release 5.5.8 dev 1

Updating minified JavaScript files

Use `ResizeObserverEntry.contentRect` in legacy browsers

Fixes #5187

Add `messageTableOfContents` and `quoteMetaCode` to the shared templates

See https://www.woltlab.com/community/thread/298400-artikelvorschau-bringt-eine-reihe-von-fehlermeldungen/
See https://www.woltlab.com/community/thread/298137-alle-anzeigen-aktualisieren-unable-to-find-template-quotemetacode/

Suppress empty style descriptions

See https://www.woltlab.com/community/thread/298369-stil-beschreibung-fehlt-sprachvariable-wird-angezeigt/

Suppress user activity events when articles have been disabled

See https://www.woltlab.com/community/thread/298375-letzte-aktivit%C3%A4ten-nach-modul-deaktivierung/

Merge branch '5.4' into 5.5

Merge branch '5.3' into 5.4

Remove questionable `@` in __singleMediaSelectionFormField.tpl

This looks like it is exploitable, because the value is not guaranteed to be an integer.

Fix XSS vulnerability in registerActivation.tpl

This was introduced in a477e3522933a7204b02013cd6b6d47d0db1d254 when the
activation logic was refactored to no longer use numeric-only activation codes.

Thanks to Chabik Hatim for responsibly reporting the vulnerability.

Merge pull request #5225 from WoltLab/supportexpiry-53

Notify users of the expiring support (5.3)

Notify users of the expiring support (5.3)

see #4574

Properly take languageID into account in LanguageEditor::deleteFromXML()

see https://www.woltlab.com/community/thread/298522-sprachvariable-case-aktualisieren/

Detect reused dialogIds in Form/Builder/Dialog.ts

see https://www.woltlab.com/community/thread/298580-uncaught-error-form-has-not-been-requested-yet/

Fix incorrect use of `this` references in Dom/Util

This breaks if single functions are imported.

Add `rel="nofollow"` to missed login link

This was noticed while resolving the merge conflicts when merging from 5.5 to
master.

see fa0b20e855dbf01ebf3e4ac54c12a0507dcb993f

Merge pull request #5221 from WoltLab/login-no-follow

Mark login links as `rel="nofollow"`

Remove questionable `@` in login.tpl

Mark login links as `rel="nofollow"`

Resolves #5218

Fix missing permission check

It was not considered whether the user has the permission to edit his profile.

Merge pull request #5190 from WoltLab/php-ddl-foreign-key-drop

Fix dropping of misnamed foreign keys in PHP DDL

Fix dropping of misnamed foreign keys in PHP DDL

Foreign keys are matched up by their `getDiffData()` which includes the column
list, referenced column list and referenced table, but does not include the name.

This effectively ensures that only a single foreign key exists for each
possible combination of source and target columns.

Dropping foreign keys however relies on the foreign key’s name being sent to
the database and this is currently broken when the foreign key name differs
from the expected name:

The misnamed key will be matched up, but the DROP query will send the expected
name, instead of the actual name.

Fix this by inserting the `$matchingExistingForeignKey` into the list of keys
to drop, which makes sense, because the existing key is what should be dropped
in the first place.