Bug 906745 - In MySQL, tokens are not case-sensitive, reducing total entropy and allowing easier brute force
r=LpSolit,a=glob

Bug 912639: Release notes for Bugzilla 4.0.11
r=dkl a=LpSolit

Bug 902515: Internet Explorer 11 receives multipart/x-mixed-replace content from buglist.cgi
r=dkl a=sgreen

Bug 901620 - Grammar error in the documentation
r=sgreen, a=glob

Bug 880653 - Add POD for Bug.possible_duplicates webservice
r=LpSolit,a=sgreen

Bug 787328 - xmlrpc.cgi doesn't send any security-related headers
r=glob,a=justdave

Bug 861528: $user->can_enter_product() now returns the product object instead of 1
r=glob a=LpSolit

Bug 355620: Lines enclosed in <simplelist> do not wrap in the PDF version of the Bugzilla Guide
r/a=LpSolit

Bug 854074: Remove all references to the uwinnipeg.ca PPM repository as it is no longer available
r=glob a=LpSolit

Bug 852560: Bugzilla cannot be installed with MySQL 5.6, because the have_innodb variable no longer exists
r=glob a=LpSolit

Bump version post-release

Bumped current year

Bump version to 4.0.10

Bug 842038: (CVE-2013-0785) [SECURITY] XSS in show_bug.cgi when using an invalid page format
r=glob a=LpSolit

Bug 824399: (CVE-2013-0786) [SECURITY] build_subselect() leaks the existence of products and components you cannot access
r/a=LpSolit

Bug 832265: Release notes for Bugzilla 4.0.10
r=dkl a=LpSolit

Bug 771100: Attaching a file to a bug with Perl 5.16 fails
r=dkl a=LpSolit

Bug 826678: Disable warnings about the deprecated Return::Value module when loading Email::Send
r=wicked a=LpSolit

Bug 824616: The urlbase field in global/header.html.tmpl must be filtered
r/a=LpSolit

Bug 579189 - New methods added to Bugzilla/User.pm by bug 24896 have no POD
r=dkl, a=LpSolit

Bug 640756 - Make the documentation clearer that attachments created with Bug.add_attachment must by of type 'base64' when non-ASCII
.
r=LpSolit, a=LpSolit

Bump version post-release

https://bugzilla.mozilla.org/show_bug.cgi?id=805644

Bump version to 4.0.9

https://bugzilla.mozilla.org/show_bug.cgi?id=805644

Bug 808845 (CVE-2012-5475): [SECURITY] Security vulnerability in YUI's swfstore.swf in YUI 2.8.2 and 2.9.0
a=LpSolit

Bug 781850 (CVE-2012-4198): [SECURITY] Do not leak the existence of groups when using User.get()
r=dkl a=LpSolit

Bug 802204 (CVE-2012-4197): [SECURITY] Marking an attachment you cannot see as obsolete can disclose its description
r=gerv a=LpSolit

Bug 731178 (CVE-2012-4199): [SECURITY] field-events.js.tmpl discloses product and component names that the user is not allowed to see
r=dkl a=LpSolit

Fix typo

Bug 807937: Fix POD
r/a=LpSolit

Bug 805649: Release notes for Bugzilla 4.0.9
r=dkl

Fix typo

Bug 790909: Editing dependencies from the "Change Several Bugs at Once" page does not work as expected (bug IDs are incorrectly parsed)
r=dkl a=LpSolit

Bug 757935: Bugs with resolution MOVED cannot be edited
r=glob a=LpSolit

Bug 790215 - Flag names are not properly escaped when displayed on confirm user match page
[r=LpSolit a=LpSolit]

Bumped version post-release

Bump version to 4.0.8

Bug 785470: (CVE-2012-3981) [SECURITY] Missing escaping of the username can lead to LDAP injection
r/a=LpSolit

Bug 785522: [SECURITY] Block access to templates in extensions/
r=glob a=LpSolit

Bug 786352: Release notes for Bugzilla 4.0.8
r=dkl a=LpSolit

Bug 785917: Custom field descriptions are not properly escaped when displayed as bug list column headers
r=glob a=LpSolit

Bug 682317 - Bug.create is incorrectly documented as ignoring invalid fields; it should say it produces an error
r=dkl, a=LpSolit

Bumped version post release

Bump version to 4.0.7

Bug 777586: (CVE-2012-1969) [SECURITY] The description of private attachments is still visible to unauthorized users when mentioned in a comment
r=glob a=LpSolit

Bug 777675: Release notes for Bugzilla 4.0.7
r=dkl a=LpSolit

Bug 776103 - Syntax error in Bugzilla::User::Setting API doc
r/a=LpSolit

Bug 768870: The "Un-forget the search" link has no token
r=glob a=LpSolit

Bug 754561 - Escape HTML in keywords in the auto-complete form
[r=LpSolit a=LpSolit]

Bug 756314: Fix dropping of unique matches when the "confirm page" page is display.
r=LpSolit, a=LpSolit

Bumping the version post-release

Bump version to 4.0.6

Bug 745397: (CVE-2012-0466) [SECURITY] The JS template for buglists permits attackers to access all bugs that the victim can see
r=glob a=LpSolit

Bug 728639: (CVE-2012-0465) [SECURITY] User lockout policy can be bypassed by altering the X-FORWARDED-FOR header
r=glob a=LpSolit

Bug 746547: SMALLSERIAL is of type INT2, not INT1
r=timello a=LpSolit

Bug 741077: Update relnotes for 4.0.6

Bug 741077: Release notes for Bugzilla 4.0.6
r=dkl

Bug 733458: The "creator" argument is listed twice for the Bug.search WebService method
r/a=LpSolit

Bug 731725 - In the documentation license,  the address of the FSF is incorrect
r=dkl, a=LpSolit

Bug 731219: Fix XMLRPC breakage when content-type contains a charset
r=dkl, a=LpSolit

Bug 696352: Required fields have broken colors
r/a=LpSolit

Bumped the version number post-release

Bumped version to 4.0.5

Bug 725663 - (CVE-2012-0453) [SECURITY] CSRF vulnerability in the XML-RPC API when using mod_perl
r/a=LpSolit

Bug 727893: Release notes for Bugzilla 4.0.5
r=dkl a=LpSolit

Test 1 fails if PERLLIB contains paths with whitespace.
r=gerv; a=LpSolit

https://bugzilla.mozilla.org/show_bug.cgi?id=714074

Bug 727240: The POD for Bug.attachments is wrong about the format of the returned data
r=dkl a=LpSolit

Bug 722161: Clickjacking is possible in "View All" with HTML attachments
r=dkl a=LpSolit

Bump the version number post-release

Bumped to correct date

Bumped to version 4.0.4

Bug 718319: (CVE-2012-0440) [SECURITY] JSON-RPC permits to bypass token checks and can lead to CSRF (no victim's action required)
r=mkanat a=LpSolit

Bug 714472: (CVE-2012-0448) [SECURITY] utf8 homoglyphs are allowed in email addresses, which could allow an attacker to be CC'ed to private bugs by accident
r=glob a=LpSolit

Bug 720752 - Release notes for Bugzilla 4.0.4
r/a=LpSolit

Bug 469068: SMTP parameters not documented
r/a=LpSolit

Bug 715733 - When deleting a user account, related data in the profile_search table is not removed
r/a=LpSolit

Bug 591638: In the admin page, the link to edit field values is named 'Field Values', not 'Legal Values'
r/a=LpSolit

Bug 715650 - User auto-completion does not work in request.cgi for requester and requestee as expected
r=timello, a=LpSolit

Bug 716283: Clickjacking in the attachment "Details" page allows to bypass token checks
r=dkl a=LpSolit

Bug 319684: The documentation is unclear about how to disable quips
r/a=LpSolit

Bug 641957: The documentation should mention that the voting system is now an extension
r/a=LpSolit

Bug 715705: User auto-completion doesn't work for watched users in the email prefs tab
r=timello a=LpSolit

Bug 714664: The content of the "emailregexpdesc" parameter is not escaped when displayed to the user
r=dkl a=LpSolit

Bug 706753: Bugzilla will not work with newest version of JSON::RPC 1.01 due to non-backward compatibility
r=dkl r=mkanat a=LpSolit

Bump the version number post-release

Bump version for 4.0.3

Bug 711714: (CVE-2011-3667) [SECURITY] The User.offer_account_by_email WebService method lets you create new user accounts independently of the value of Bugzilla::Auth::Verify::*::user_can_create_account
r=dkl a=LpSolit

Bug 697699 - (CVE-2011-3657) [SECURITY] XSS when viewing new charts or tabular and graphical reports in debug mode
r=gerv, a=LpSolit

Bug 713345: Release notes for Bugzilla 4.0.3
r=dkl a=LpSolit

Bug 707428: Custom field values whose visibility depends on another field value do not remain selected after editing a bug
r=wicked a=LpSolit

Bug 644281: When the sort order of a buglist is modified, the "Show next bug in my list" user pref still uses the original sort order to decide which bug to display next
r=glob a=LpSolit

Bug 707170: Several features about custom fields are missing in the documentation
r=dkl a=LpSolit

Bug 657290: Bug.add_attachment() stores truncated timestamps in the DB (seconds are missing)
r=dkl a=mkanat

Bug 550299: User fields are left blank in buglists and whines when local user accounts are used (i.e. they have no @company.com suffix)
r=mkanat a=LpSolit

Bug 692354: Incorrect parameter type in WebServices documentation for Bug.add_comment
r/a=mkanat

Bug 707594: Fix broken account lockout notifications
r=LpSolit, a=LpSolit

Bug 701350: Oracle crashes if the 'maxattachmentsize' parameter is set to a too small value
r/a=mkanat

Bug 591610: Custom field doc doesn't include 'Bug ID' type
r=timello a=LpSolit

Bug 591636: "is mandatory" is not documented in the Custom Fields section
r=timello a=LpSolit

Bug 706118: Session token not deleted during a bug mass-change
r=glob a=LpSolit

Bug 277073: Make whining trap errors thrown by Search.pm
r=wicked a=LpSolit