Bug 924802: (CVE-2013-1742) [SECURITY] (XSS) "id" and "sortkey" are not sanitized when editing flag types if categoryAction-foo is set
r=dkl a=glob

Bug 913904: (CVE-2013-1734) [SECURITY] CSRF when updating attachments
r=dkl a=sgreen

Bug 906745 - In MySQL, tokens are not case-sensitive, reducing total entropy and allowing easier brute force
r=LpSolit,a=sgreen

Bug 907438 - In MySQL, login cookie checking is not case-sensitive, reducing total entropy and allowing easier brute force
r=LpSolit,a=sgreen

Bug 906745 - In MySQL, tokens are not case-sensitive, reducing total entropy and allowing easier brute force
r=LpSolit,a=glob

Bug 912640: Release notes for Bugzilla 4.2.7
r=dkl a=LpSolit

Bug 914262: KHTML-based browsers such as Konqueror do not support the Server-Push technology
r=dkl a=justdave

Bug 919475: [Oracle] Crash when non-mandatory free text custom fields are left empty on bug creation
r=LpSolit a=justdave

Bug 848063: [Oracle] importxml.pl fails with ORA-01830: comment timestamps are not correctly formatted
r=LpSolit a=sgreen

Back out bug 868330 for the 4.2 branch. This is not a security fix

Bug 902515: Internet Explorer 11 receives multipart/x-mixed-replace content from buglist.cgi
r=dkl a=sgreen

Bug 868330 - Password creation directions incomplete
r=sgreen, a=sgreen

Bug 897264 - letters_numbers_specialchars password restriction is incorrect
r=LpSolit, a=sgreen

Bug 901620 - Grammar error in the documentation
r=sgreen, a=glob

Bug 880653 - Add POD for Bug.possible_duplicates webservice
r=LpSolit,a=sgreen

Bug 787328 - xmlrpc.cgi doesn't send any security-related headers
r=glob,a=justdave

Bump version post-release

Bump  version to 4.2.6

Bug 828344: add missing xt broken tests

Bug 828344: "contains all of the words" no longer looks for all words within the same comment or flag
r=LpSolit, a=LpSolit

Bug 870701: Release notes for Bugzilla 4.2.6
r=dkl a=LpSolit

Bug 212471: Tabular reports do not link bug counts involving the empty resolution correctly
r=dkl a=LpSolit

Bug 859118 - Bug.search called with no arguments returns all visible bugs, ignoring max_search_results and search_allow_no_criteria
r/a=LpSolit

Bug 848635: Old queries based on tags are no longer listed in the page footer by default when upgrading from 4.0 or older to 4.2
r=glob a=LpSolit

Bug 858909: When running checksetup.pl for the first time using Oracle as DB server, you get an "uninitialized value" warning
r=dkl a=LpSolit

Bug 858911: Oracle fails with "ORA-04043: object T_GROUP_CONCAT does not exist" when installing Bugzilla for the first time
r=dkl a=LpSolit

revert commit for bug 828344

Bug 828344: Make "contains all of the words" look for all words within the same comment or flag
r=LpSolit, a=LpSolit

Bug 782210:  If a custom field depends on a product, component or classification, the "mandatory" bit is ignored on bug creation
r/a=LpSolit

Bug 861528: $user->can_enter_product() now returns the product object instead of 1
r=glob a=LpSolit

Bug 860723: Custom fields are shown twice in report axis selectors
r/a=LpSolit

Bug 355620: Lines enclosed in <simplelist> do not wrap in the PDF version of the Bugzilla Guide
r/a=LpSolit

Bug 857562: ajax_user_autocompletion param ignored on Search by People fields
r=dkl a=LpSolit

Bug 855258: The dependency graph always uses urlbase, even when sslbase is in use
r=glob a=LpSolit

Bug 854074: Remove all references to the uwinnipeg.ca PPM repository as it is no longer available
r=glob a=LpSolit

Bug 852560: Bugzilla cannot be installed with MySQL 5.6, because the have_innodb variable no longer exists
r=glob a=LpSolit

Bug 827983: "[reply]" link besides the original description will insert ("in reply to comment #N+1") when the comments order is "Newest to Oldest, but keep Descritption at the top"
r/a=LpSolit

Bug 850126 - 'token' id defined twice on logged-out pages (in header and footer)
[r=LpSolit a=LpSolit]

Bug 848250: Bug summary tooltip now includes "---" for unresolved bugs
r=dkl a=LpSolit

Bump version post-release

Bumped current year

Bump version to 4.2.5

Bug 842038: (CVE-2013-0785) [SECURITY] XSS in show_bug.cgi when using an invalid page format
r=glob a=LpSolit

Bug 824399: (CVE-2013-0786) [SECURITY] build_subselect() leaks the existence of products and components you cannot access
r/a=LpSolit

Bug 832264: Release notes for Bugzilla 4.2.5
r=dkl a=LpSolit

Bug 839950: Cannot search by Change History on multi-select fields
r/a=LpSolit

Bug 840824: It is possible to create a new bug with a non active target milestone, version or component
r/a=LpSolit

Bug 752946 - Fixed uninitialized error

Bug 752946 - Moving a bug into another product lists inactive components, milestones and versions
r/a=LpSolit

Bug 829939: Only build default_authorizer on request
r=glob a=LpSolit

Bug 826678: Disable warnings about the deprecated Return::Value module when loading Email::Send
r=wicked a=LpSolit

Bug 824616: The urlbase field in global/header.html.tmpl must be filtered
r/a=LpSolit

Bug 825524: When cloning a bug, the "We've made a guess at your operating system and platform" message should not be displayed
r/a=LpSolit

Bug 818621: Perl 5.16 complains with "Variable length lookbehind not implemented in regex" when the Example extension is enabled
r=dkl a=LpSolit

Bug 818890: Bugzilla doesn't obey the "Comment required on status transition" for {Start}-> transition (for new bugs)
r/a=LpSolit

Bug 406758: The help page for keywords uses "tag", but tags are something else
r/a=LpSolit

Bug 806809: Custom field values with "Enabled for bugs" set to "No" break the values list if the field's values visibility depends on another field values
r/a=LpSolit

Bug 818007: Searching by commenter is slow
r=dkl a=LpSolit

Bug 579189 - New methods added to Bugzilla/User.pm by bug 24896 have no POD
r=dkl, a=LpSolit

Bug 385283: bz_webservice_demo.pl --product-name fails (Product.get_product no longer exists)
Part 2: correctly display components, milestones and versions
r/a=LpSolit

Bug 640756 - Make the documentation clearer that attachments created with Bug.add_attachment must by of type 'base64' when non-ASCII
.
r=LpSolit, a=LpSolit

Bug 385283: bz_webservice_demo.pl --product-name fails (Product.get_product no longer exists)
r/a=LpSolit

Bump version post-release

https://bugzilla.mozilla.org/show_bug.cgi?id=805644

Bump version to 4.2.4

https://bugzilla.mozilla.org/show_bug.cgi?id=805644

Bug 790296 (CVE-2012-4189): [SECURITY] Field values are not escaped correctly in tabular reports
r=dkl a=LpSolit

Bug 808845 (CVE-2012-5475): [SECURITY] Security vulnerability in YUI's swfstore.swf in YUI 2.8.2 and 2.9.0
a=LpSolit

Bug 781850 (CVE-2012-4198): [SECURITY] Do not leak the existence of groups when using User.get()
r=dkl a=LpSolit

Bug 802204 (CVE-2012-4197): [SECURITY] Marking an attachment you cannot see as obsolete can disclose its description
r=gerv a=LpSolit

Bug 731178 (CVE-2012-4199): [SECURITY] field-events.js.tmpl discloses product and component names that the user is not allowed to see
r=dkl a=LpSolit

Back out the last checkin, it was already there

Bug 805647: One more item for the 4.2.4 release notes

Bug 804505: Oracle crashes when typing "word1 word2" in QuickSearch with "ORA-29907: found duplicate labels in primary invocations"
r=dkl a=LpSolit

Bug 806012: Installation docs need to be updated with instructions for bzr
r=dkl a=LpSolit

Fix typo

Bug 807937: Fix POD
r/a=LpSolit

Bug 805647: Release notes for Bugzilla 4.2.4
r=dkl

Bug 610767: contrib/convert-workflow.pl should add transitions from RESOLVED and VERIFIED to CONFIRMED (if transitions to REOPENED were present)
r=dkl a=LpSolit

Bug 531243: Bugzilla crashes on show_bug if it's hit while a custom field is being added
r=justdave a=LpSolit

Bug 780053: Oracle crashes when listing keywords or flags in buglists
r/a=LpSolit

Bug 799721: PostgreSQL 9.2 requires DBD::Pg 2.19.3
r=glob a=LpSolit

Bug 781314: The behavior of tags changed
r=wicked a=LpSolit

Fix typo

s/sortey/sortkey/g

Bug 790129: Bugzilla->fields returns fields in random order (the sortkey is ignored)
r/a=LpSolit

Bug 793826: Prevent private web service methods from being called
r=dkl a=LpSolit

Bug 798994: Fix incorrect double escaping when displaying saved queries URLs
r=glob, a=LpSolit

Bug 753635: Allow editing local see also even if you cannot edit the other bug
r=glob, a=LpSolit

Bug 652047: checksetup.pl fails to compile/run if the Voting extension is enabled on a fresh install
r=glob a=LpSolit

Bug 790909: Editing dependencies from the "Change Several Bugs at Once" page does not work as expected (bug IDs are incorrectly parsed)
r=dkl a=LpSolit

Bug 788098: Queries involving group substitution crash when usevisibilitygroups is enabled
r=dkl a=LpSolit

Bug 794389: There is no field named 'actual_time' when generating reports
r=glob a=LpSolit

Bug 757935: Bugs with resolution MOVED cannot be edited
r=glob a=LpSolit

Bug 793893: Tabular reports crash when no format parameter is defined
r=glob a=LpSolit

Bug 761046: Don't redirect when hitting buglist.cgi directly to avoid duplicate cgi->header calls
r=LpSolit, a=LpSolit

Update POD to fix bustage in Perl 5.16.1
r=runtests.pl

Bug 680771 - Send X-XSS-Protection header for XSS prevention/blocking
[r=mkanat a=LpSolit]

Bug 790215 - Flag names are not properly escaped when displayed on confirm user match page
[r=LpSolit a=LpSolit]

Bug 671612: Send "X-Content-Type-Options: nosniff" with every response
r/a=LpSolit

Bug 786889: Add missing 'Summary (first 60 chars)' header to CSV output
r=glob, a=LpSolit

Bumped version post-release