Fix XSS in the cronjob's error message in cronjobLogList

This can happen if untrusted information, such as the HTTP response body for a
failed Guzzle request, is embedded into the error message.

Thanks to @SoftCreatR for responsibly reporting the issue.

Release 3.1.27

Merge branch 'unknown-bbcode-xss' into 3.1

Fix XSS vulnerability in HtmlBBCodeParser::buildBBCodeTag()

Thanks to @methosiea for responsibly reporting this issue.

Resolves #4653

Release 3.1.26

Add missing JSON encoding of the PAGE_TITLE in `ampArticle.tpl`

This does not need to be fixed in any current branch, because the broken-ness
of `|encodeJSON` will result in broken metadata one way or another.

(cherry picked from commit bba7f1706e30761e55954a5a4be569e5bb55a6c4)

Stop using `|encodeJSON`

(cherry picked from commit ab1e34de9ca94dc44b20d0b4d58eca2bad80d9d3)

Add `|json` template modifier

(cherry picked from commit e178fa84dc06861c5aba3d14e03161c5396fe9a7)

Release 3.1.25

Merge branch 'encode-js-quot' into 3.1

Encode the double quote (`"`) in StringUtil::encodeJS()

`encodeJSON()` is currently broken, because while it HTML-encodes the double
quote, it does not actually add the backslash in front of it. Depending on
whether the HTML entity is interpreted by the browser in that specific location
or not, this either results in an incorrect string (with a literal `"`
instead of `"`) or in a syntax error (because the `"` ends the string
prematurely).

The latter might even allow for the injection of JavaScript, if `encodeJSON` is
used in a `<script>` tag that is not just LD-JSON metadata.

Fix this issue by escaping the double quote in `encodeJS` which is used
internally by `encodeJSON`. This should not cause issues, as an escaped double
quote is valid syntax within a JavaScript string.

Updating minified JavaScript files

Release 3.1.24

Incorrect reset of the timer to show the loading indicator

The missing reset caused repeated calls to `show()` being effectively ignored, because the check `_timeoutShow === null` would be always true if the callback was cancelled before.

See https://community.woltlab.com/thread/293232-ajaxstatus-wird-nach-einem-fehlerhaften-request-nicht-wieder-angezeigt/

Merge pull request #4574 from WoltLab/supportexpiry-31

Notify users of the expiring support

Notify users of the expiring support

This effectively is 14a6db14f1ac63da83098dc648288ae07df62e80 combined with
637c1ca28225918a1a07680b7759c02565cd4c50.

Fix EmailNewActivationCodeForm

This got broken, because it inherits from RegisterNewActivationForm and the “is
already enabled” validation was moved into a dedicated method within there. This
is a perfect example of why one should never inherit from controllers …

see f394421c0cc7e8879007092e40e540b2fd1118c1

Release 3.1.23

Fix return type comment for AbstractDatabaseObjectAction::getSingleObject()

Updating minified JavaScript files

Encode HTML in smileyTitle in Smiley::getHtml()

Don't leak an account's activation status (#4365)

* Don't leak an account's activation status

* Update wcfsetup/install/files/lib/form/RegisterNewActivationCodeForm.class.php

Co-authored-by: Tim Düsterhus <timwolla@googlemail.com>
Co-authored-by: Tim Düsterhus <timwolla@googlemail.com>

Remove duplicate `class` attribute in cacheList.tpl

Fix typo in de.xml

Closes #4366

Co-authored-by: Sascha Greuel <sascha@softcreatr.de>

Use “Moderation” instead of “Moderatoren” in de.xml

Set 'accept-encoding: identity' by default in HTTPRequest

RFC 7231#5.3.4 allows a server to use an arbitrary 'content-encoding' when no
'accept-encoding' request header is sent.

Make it clear that no 'content-encoding' is acceptable by only accepting the
'identity' encoding.

Fix 'to its full extent' in en.xml

Merge pull request #4209 from WoltLab/comment_moderation_queue

Delete moderation queue entries after deleting comments/comment responses

Delete moderation queue entries after deleting comments/comment responses

Close #4208

Add missing `$definitionName` value for comment response moderation queue handlers

Fix ignoring the disable state of an article category

Deactivated categories are currently only hidden in the overview of categories in the frontend. However, articles in these categories (and the category itself, via the direct link) were still accessible. This patch solves the problem by hiding the category for all users and making articles and the category itself no longer accessible for any user.

Reset language form field in language import form after saving

Fix detection of nested tables in messages

Close #4175

Fix table borders when cells with `rowspan` are visually in the last row (#4176)

See https://community.woltlab.com/thread/289598

Merge pull request #4143 from WoltLab/3.1-fix-sitemap

Fix generating sitemaps with factor 250 objects sitemaps

Fix generating sitemaps with factor 250 objects

Update the number of responses that will be loaded

Release 3.1.22

Add missing permissions check when removing moderated content

Updated Google's address in the privacy policy

Reset the assignment cache on group deletion

Fixes #4045

Update the user rank after users change their profile

Strip rtl override char

Release 3.1.21

Merge branch '3.0' into 3.1

Add missing permission check to ModerationQueueAction::validateAssignUser()

This only affected registered users. Guests never could trigger this action,
because it is not listed in `$allowGuestAccess`.

Merge branch '3.0' into 3.1

Release 3.0.27

Adjust upgrade notice

see f4a8700ae34fa3120576c5ab4e2096f514cffdc5
see 14a6db14f1ac63da83098dc648288ae07df62e80

Add upgrade instructions for 2.1.24 pl 3

Match all prefixes for store.woltlab.com in PackageAction::validateSearchForPurchasedItems()

see #3910

Merge branch '3.0' into 3.1

Merge pull request #3997 from WoltLab/major-upgrade-no-upload

Reject major com.woltlab.wcf upgrades via package upload

Reject major com.woltlab.wcf upgrades via package upload

Merge branch '3.0' into 3.1

Fix typo in phrases

Release 3.1.20

Merge branch '3.0' into 3.1

Release 3.0.26

Merge branch '3.0' into 3.1

Missing check for accessible user groups

Merge branch '3.0' into 3.1

Notify users of the expiring support

Merge branch '3.0' into 3.1

Ignore top-level node_modules/

Release 3.1.19

Updating minified JavaScript files

Fix converting float value to integer

Permissions for media were not saved correctly

Set explicit value for invalid select options

Merge pull request #3844 from WoltLab/fix-failing-cronjobs

Fix failing cronjobs

fixup! Disable disabling of failed system cronjobs Fixes #3841

Disable disabling of failed system cronjobs
Fixes #3841

Prevent failing cronjobs from blocking other cronjobs by executing them last

Force the use of the attachment thumbnail if the original is inaccessible

Incorrect version comparison for accessible packages

Release 3.1.18

Merge pull request #3744 from Krymonota/patch-18

Add missing JSDoc to `EmailSmtpTest`

Add missing JSDoc to `EmailSmtpTest`

Updating minified JavaScript files

Workaround for a Chromium bug on Windows

Mutable variable access inside a callback

Fix ACL buttons when editing media files successively

Replaces 3a7740a3704339c79d08fd2f5094fa1a1973318b by backporting and using parts of 6ee58cd2865980cd7fa16a1f3ebc660131fc7fd6.

Revert "Fix ACL buttons when editing media files successively"

This reverts commit 3a7740a3704339c79d08fd2f5094fa1a1973318b.

Fix ACL buttons when editing media files successively

Fix BBCodeHandler::setDisallowedBBCodes(...) PHPDoc (#3722)

Obsolete exclusion of the old ACP catpcha

This route does not exist anymore since WoltLab Suite 3.0.

Block search keyword list if permissions for the search function are denied

Closes #3681

Fix de.xml

This fixes up commit 70746ece9789d3b2256495a788ae4875d01e95bc.

Fix typo in de.xml

Fix GDPR export if invalid user id is given

… and stop using deprecated method `UserProfile::getUserProfile()`.

Fix class name in UserRegistrationUtil::__construct() PHPDoc (#3652)

Ignore top-level node_modules/

Use a literal string to avoid escaping

See #3595

Removed obsolete code

There is no article counter for users (wcf1_user.articles) in version 3.1.

Merge pull request #3585 from WoltLab/overdue-cronjob

Improved the wording of the cronjob error message

Improved readability

Co-authored-by: Matthias Schmidt <gravatronics@live.com>

Default value blocked saving of empty date fields

Incorrect parameter order

Co-authored-by: Tim Düsterhus <duesterhus@woltlab.com>

Improved the wording of the cronjob error message