Incorrect data type used in AJAX requests for search requests

The `Set` type is not understood by the browser's AJAX API and thus silently discarded.

Merge branch '5.3' into 5.4

Merge branch '5.2' into 5.3

Merge branch '3.1' into 5.2

Fix EmailNewActivationCodeForm

This got broken, because it inherits from RegisterNewActivationForm and the “is
already enabled” validation was moved into a dedicated method within there. This
is a perfect example of why one should never inherit from controllers …

see f394421c0cc7e8879007092e40e540b2fd1118c1

Fix bad merge from 5.3 to 5.4

Commit f394421c0cc7e8879007092e40e540b2fd1118c1 was incorrectly applied.

Allow unblocking non-blockable users from within the profile

Fixes #4548

Updating minified JavaScript files

Update npm dependencies in extra/

Updating minified JavaScript files

Support for the embedding of private vimeo videos

Merge pull request #4539 from WoltLab/php-ddl-reject-duplicate-index-column

Reject indices with duplicate columns in DatabaseTableChangeProcessor

Merge pull request #4540 from WoltLab/5.4-image-proxy-exception

Correctly wrap \RuntimeException from body reading in \DomainExceptio…

Correctly wrap \RuntimeException from body reading in \DomainException in ImageProxyAction

Reject indices with duplicate columns in DatabaseTableChangeProcessor

Resolves #4536

Merge pull request #4538 from WoltLab/5.4-disable-unfurling-in-signatures

Disable unfurled urls in signatures

Disable unfurled urls in signatures

Fix check whether a non-owned FOREIGN KEY is being dropped in DatabaseTableChangeProcessor

The reproducer and fix is effectively identical to the one in
167291206e57ffb9bc043308682061e5e499ff45.

Package A: Installs FOREIGN KEY (someOtherUserID) REFERENCES wcf1_user (userID)
Package B: Installs FOREIGN KEY (userID) REFERENCES wcf1_user (userID)
Package B: Drops FOREIGN KEY (userID) REFERENCES wcf1_user (userID)

It was erroneously detected that Package B would drop the foreign key owned by
Package A, but possibly only after the foreign key has already been (correctly)
dropped. This delay in check is caused by the `continue 2;` skipping any other
foreign keys after matching up one foreign key.

The actual dropping logic was already correct, just the safety check was
incorrect.

see #4434

Force blur the editor after replying with a message

See https://community.woltlab.com/thread/292195-probleme-mit-opera-mobile-unter-android/

Force blur the editor after replying with a message

See https://community.woltlab.com/thread/292195-probleme-mit-opera-mobile-unter-android/

Merge pull request #4532 from WoltLab/unfurl-body-read-failure

Correctly wrap \RuntimeException from body reading in DownloadFailed in UnfurlResponse

Correctly wrap \RuntimeException from body reading in DownloadFailed in UnfurlResponse

Merge branch '5.3' into 5.4

Merge pull request #4531 from WoltLab/http-request-timeout

Configure emergency timeout in HTTPRequest

Merge remote-tracking branch 'origin/5.4' into 5.4

Add explicit check whether the port is numeric in Redis wrapper

This improves error messages.

Merge branch '5.3' into 5.4

Cast the Redis port to int

The `Redis::connect()` method expects the `$port` parameter to be an integer.
PHP will automatically cast numeric strings to an integer, but error out with
an TypeError if the string is not a well-formed number. This TypeError will not
be caught in an `catch(\Exception $e)` block, because TypeError does not
inherit Exception.

Perform an explicit cast to ensure the fallback to DiskCacheSource works.

Configure emergency timeout in HTTPRequest

The connect and read timeouts might not reliably trigger in all cases.
Configure a large overall timeout to ensure PHP workers will terminate
eventually.

see 2dbd5654cb9faff45bb51df9a2f3834bd320cc00

Incorrect detection of HTML tags

The previous regex was incorrect and caused false-positive matches. One such case was a `<td>The …</td>` which translated into `###td ###The …`, causing it to be recognized as a `<th>`.

The new regex is much more restrictive by requiring at least one whitespace after the tag name if there is additional content.

Fix removing reactions on guests content

Since MySQL 8 the deletion of reactions on contents created by guests might fail. The ReactionHandler tries to update the likesReceived column for a non-existent user, sending the empty string as the userID. Recent versions of MySQL 8 error out with MySQL error 1292. The following MySQL bug appears to be related:

https://bugs.mysql.com/bug.php?id=101806

Merge pull request #4526 from WoltLab/session-cookie-lifetime

Decrease the session cookie lifetime leeway to 1 week

Decrease the session cookie lifetime leeway to 1 week

With the increase of the user session lifetime to 2 months, simply multiplying
by two results in an excessive cookie lifetime.

Decrease this to a constant leeway of 1 week. If the cookie in the browser
expires, the session on the server should be long gone, even for wildly
incorrect local clocks.

Merge pull request #4525 from WoltLab/session-device-icon

Move Session::getDeviceIcon() into UserAgent::getDeviceIcon()

Move Session::getDeviceIcon() into UserAgent::getDeviceIcon()

This method does not really belong into the Session class.

Validate the XSRF-Token in DeleteSessionAction

This is not necessarily required, because the `sessionID` already contains high
entropy. However the JavaScript code already provides the XSRF-Token, so let's
validate it for completeness.

Remove SECURITY_TOKEN* constants from constants.php

These were effectively deprecated in 3f6a261b1e6a3804370eb1e2a046ea6c666dbedd.

Remove SID* constants from constants.php

These were removed in 8a35fd6de81f1138456fb777eb57d4b3907c0c66.

Release 5.4.8

Release 5.4.8 dev 2

Merge pull request #4516 from WoltLab/xsrf-token-error

Improve phrasing for XSRF token error messages

Improve phrasing in wcf.ajax.error.sessionExpired

see #4501

Improve phrasing in wcf.global.form.error.securityToken

see #4501

Release 5.4.8 dev 1

Updating minified JavaScript files

Fix typo in setup_en.xml

Incorrect type comparison when the legacy mysql extension is been used

Merge branch '5.3' into 5.4

Merge pull request #4497 from max-m/patch-categoryMultiSelectOptionType

Make `categoryMultiSelectOptionType.tpl` behave like `categoryOptionList.tpl`

Take the array key into account when checking whether an unnamed KEY matches in DatabaseTableChangeProcessor

The reproducer effectively matches d7f721d6f920d66f75102723b504d89e57a8c9ff, except that the KEY
is unnamed.

Previously the update would silently fail to do anything. Now the update fails
loudly, because it attempts to create another index with an existing name. This
is no different behavior compared to an INDEX collision of two unnamed indices
`(a, b)`, `(a, c)`. The developer will be clearly alerted of this issue and can
take appropriate measures to avoid it, e.g. by using explicit names.

see #4434

Skip desktop notifications on Android

Notifications are not supported outside of the context of service workers.

See https://community.woltlab.com/thread/292374-chrome-android-failed-to-construct-notification-illegal-constructor/

Do not error during validation of TOTP codes if an invalid device is selected

Do not pass `null` to `|encodeJS`

This breaks in PHP 8.1.

Fix TypeScript code style

Fix SCSS code style

Use well-specified node.js for Prettier jobs in GitHub Actions

Update GitHub Actions to node.js 16

Skip bogus selection changes

Skip the check for the caret position if the selection is invalid

Merge branch '5.3' into 5.4

Incorrect gradient value in Safari

https://community.woltlab.com/thread/292475-mainmenushowprevious-mainmenushownext-safari-farbunterschied-fehler/

Update npm dependencies

Fix SCSS code style

Apparently the replacement of 100% by 1 caused the line to be sufficiently
short to rewrap.

Fix use of transparentize() in *.scss

The function expects a unitless number between 0 and 1 as the second parameter.
The updated SCSS compiler in 5.5+ complains about this misuse.

Fix return type for SeekableIterator::* implementations

The `mixed` type is not available with our current minimum PHP version, thus
using ReturnTypeWillChange for these.

Move scssphp to the WoltLab fork

This is for PHP 8.1 compatibility.

Merge branch '5.4' of https://github.com/WoltLab/WCF into 5.4

Enable `X-Frame-Options` for the WCFSetup

This has the side effect of suppressing `SameSite=none` for the cookies, which fails on insecure connections because this attribute value is valid for secure cookies only.

Resolves #4499
Follow up for 2a9d48c4badc4de2e0f2d2fc73c3af2bee39cce8

Fix return type of `count()` for the remaining classes implementing \Countable

see 3f6b343d10b044ab08d41fec525f69ffe0a95e49

Fix PHP 8.1 compatibility in DatabaseObjectList

> Return type of wcf\data\DatabaseObjectList::count() should either be
> compatible with Countable::count(): int, or the #[ReturnTypeWillChange]
> attribute should be used to temporarily suppress the notice […]

Enable `X-Frame-Options` for the WCFSetup

This has the side effect of suppressing `SameSite=none` for the cookies, which fails on insecure connections because this attribute value is valid for secure cookies only.

Resolves #4499

Skip the default cover photo when rebuilding users

Fixes #4500

Set the XSRF-Token cookie to SameSite=lax

As it turns out, `strict` is too strict for some use cases of the average user,
as it might suppress the cookie when the user researches something while
writing a post and ultimately comes back to the community via an external link.

This request will not have the XSRF-Token cookie attached due to violating the
`strict` policy, resulting in WoltLab Suite sending a fresh cookie in response.
This will then invalidate the token stored in the form where the user is in the
process of writing their post, ultimately resulting in an error message.

The `SameSite` value is meant as a defense in depth measure to protect the user
even if they current token leaked in some way. Reducing the strictness does not
reduce the security in a measurable way.

Typo

Make `categoryMultiSelectOptionType.tpl` behave like `categoryOptionList.tpl`

Currently the `categoryMultiSelectOptionType.tpl` outputs nodes of depth 0 and depth 1,
but article categories for example can be nested deeper than that.
The `categoryOptionList.tpl` as used by the category add forms handles arbitrary nesting levels already,
so I’ve ported the template logic over to the multi select option template.

The maximum nesting depth in the `AbstractCategoryMultiSelectOptionType.class.php` has been changed
to the default value (-1) to allow for infinite nesting depths.

Merge branch '5.3' into 5.4

Merge pull request #4496 from mutec/tagfieldfdp1

fix id of `CustomFormDataProcessor` in `TagFormField`

fix id of `CustomFormDataProcessor` in `TagFormField`

the id was `acl` which seems to be a copy paste-mistake

Incorrect code style

Adjusted the `tab_width` for *.css/*.scss

Explicitly reduce the indent size of *.css/*.scss

Merge branch '5.3' into 5.4

Merge branch '5.2' into 5.3

Merge branch '5.3' into 5.4

Merge pull request #4495 from Fabii547/patch-79

Fix writing `runStandalone` attribute to package.xml

Merge pull request #4493 from WoltLab/5.3-aclformfieldcleanup

Reset ACL field values within form cleanup

Fix writing `runStandalone` attribute to package.xml

Release 5.4.7

Release 5.3.14

Incorrect use of spaces for indentation in <5.4

Sandbox `foreachVars` in templates

Nesting the same template inside a `foreach` loop that is also accessed inside the nested call will overwrite the values from the outer template due to identical identifiers being used.

The sandbox did not protected `$this->foreachVars` despite being stateful.

See #4431
Fixes #4444

Reset ACL field values within form cleanup

Remove empty lines

Release 5.4.7 RC 2

Replaced a hard-wired color value, Safari fix

Release 5.4.7 RC 1

Merge branch '5.4' of https://github.com/WoltLab/WCF into 5.4

Updating minified JavaScript files

Removed the upgrade instructions for 5.3.*

This greatly reduces the size of the update packages. Upgrade from 5.3 will still work, but will upgrade to 5.4.6 only and then apply the remaining updates.

Check against the current menu item during editing only