Bug 731178 (CVE-2012-4199): [SECURITY] field-events.js.tmpl discloses product and component names that the user is not allowed to see
r=dkl a=LpSolit

Fix typo

Bug 807937: Fix POD
r/a=LpSolit

Bug 805649: Release notes for Bugzilla 4.0.9
r=dkl

Fix typo

Bug 790909: Editing dependencies from the "Change Several Bugs at Once" page does not work as expected (bug IDs are incorrectly parsed)
r=dkl a=LpSolit

Bug 757935: Bugs with resolution MOVED cannot be edited
r=glob a=LpSolit

Bug 790215 - Flag names are not properly escaped when displayed on confirm user match page
[r=LpSolit a=LpSolit]

Bumped version post-release

Bump version to 4.0.8

Bug 785470: (CVE-2012-3981) [SECURITY] Missing escaping of the username can lead to LDAP injection
r/a=LpSolit

Bug 785522: [SECURITY] Block access to templates in extensions/
r=glob a=LpSolit

Bug 786352: Release notes for Bugzilla 4.0.8
r=dkl a=LpSolit

Bug 785917: Custom field descriptions are not properly escaped when displayed as bug list column headers
r=glob a=LpSolit

Bug 682317 - Bug.create is incorrectly documented as ignoring invalid fields; it should say it produces an error
r=dkl, a=LpSolit

Bumped version post release

Bump version to 4.0.7

Bug 777586: (CVE-2012-1969) [SECURITY] The description of private attachments is still visible to unauthorized users when mentioned in a comment
r=glob a=LpSolit

Bug 777675: Release notes for Bugzilla 4.0.7
r=dkl a=LpSolit

Bug 776103 - Syntax error in Bugzilla::User::Setting API doc
r/a=LpSolit

Bug 768870: The "Un-forget the search" link has no token
r=glob a=LpSolit

Bug 754561 - Escape HTML in keywords in the auto-complete form
[r=LpSolit a=LpSolit]

Bug 756314: Fix dropping of unique matches when the "confirm page" page is display.
r=LpSolit, a=LpSolit

Bumping the version post-release

Bump version to 4.0.6

Bug 745397: (CVE-2012-0466) [SECURITY] The JS template for buglists permits attackers to access all bugs that the victim can see
r=glob a=LpSolit

Bug 728639: (CVE-2012-0465) [SECURITY] User lockout policy can be bypassed by altering the X-FORWARDED-FOR header
r=glob a=LpSolit

Bug 746547: SMALLSERIAL is of type INT2, not INT1
r=timello a=LpSolit

Bug 741077: Update relnotes for 4.0.6

Bug 741077: Release notes for Bugzilla 4.0.6
r=dkl

Bug 733458: The "creator" argument is listed twice for the Bug.search WebService method
r/a=LpSolit

Bug 731725 - In the documentation license,  the address of the FSF is incorrect
r=dkl, a=LpSolit

Bug 731219: Fix XMLRPC breakage when content-type contains a charset
r=dkl, a=LpSolit

Bug 696352: Required fields have broken colors
r/a=LpSolit

Bumped the version number post-release

Bumped version to 4.0.5

Bug 725663 - (CVE-2012-0453) [SECURITY] CSRF vulnerability in the XML-RPC API when using mod_perl
r/a=LpSolit

Bug 727893: Release notes for Bugzilla 4.0.5
r=dkl a=LpSolit

Test 1 fails if PERLLIB contains paths with whitespace.
r=gerv; a=LpSolit

https://bugzilla.mozilla.org/show_bug.cgi?id=714074

Bug 727240: The POD for Bug.attachments is wrong about the format of the returned data
r=dkl a=LpSolit

Bug 722161: Clickjacking is possible in "View All" with HTML attachments
r=dkl a=LpSolit

Bump the version number post-release

Bumped to correct date

Bumped to version 4.0.4

Bug 718319: (CVE-2012-0440) [SECURITY] JSON-RPC permits to bypass token checks and can lead to CSRF (no victim's action required)
r=mkanat a=LpSolit

Bug 714472: (CVE-2012-0448) [SECURITY] utf8 homoglyphs are allowed in email addresses, which could allow an attacker to be CC'ed to private bugs by accident
r=glob a=LpSolit

Bug 720752 - Release notes for Bugzilla 4.0.4
r/a=LpSolit

Bug 469068: SMTP parameters not documented
r/a=LpSolit

Bug 715733 - When deleting a user account, related data in the profile_search table is not removed
r/a=LpSolit

Bug 591638: In the admin page, the link to edit field values is named 'Field Values', not 'Legal Values'
r/a=LpSolit

Bug 715650 - User auto-completion does not work in request.cgi for requester and requestee as expected
r=timello, a=LpSolit

Bug 716283: Clickjacking in the attachment "Details" page allows to bypass token checks
r=dkl a=LpSolit

Bug 319684: The documentation is unclear about how to disable quips
r/a=LpSolit

Bug 641957: The documentation should mention that the voting system is now an extension
r/a=LpSolit

Bug 715705: User auto-completion doesn't work for watched users in the email prefs tab
r=timello a=LpSolit

Bug 714664: The content of the "emailregexpdesc" parameter is not escaped when displayed to the user
r=dkl a=LpSolit

Bug 706753: Bugzilla will not work with newest version of JSON::RPC 1.01 due to non-backward compatibility
r=dkl r=mkanat a=LpSolit

Bump the version number post-release

Bump version for 4.0.3

Bug 711714: (CVE-2011-3667) [SECURITY] The User.offer_account_by_email WebService method lets you create new user accounts independently of the value of Bugzilla::Auth::Verify::*::user_can_create_account
r=dkl a=LpSolit

Bug 697699 - (CVE-2011-3657) [SECURITY] XSS when viewing new charts or tabular and graphical reports in debug mode
r=gerv, a=LpSolit

Bug 713345: Release notes for Bugzilla 4.0.3
r=dkl a=LpSolit

Bug 707428: Custom field values whose visibility depends on another field value do not remain selected after editing a bug
r=wicked a=LpSolit

Bug 644281: When the sort order of a buglist is modified, the "Show next bug in my list" user pref still uses the original sort order to decide which bug to display next
r=glob a=LpSolit

Bug 707170: Several features about custom fields are missing in the documentation
r=dkl a=LpSolit

Bug 657290: Bug.add_attachment() stores truncated timestamps in the DB (seconds are missing)
r=dkl a=mkanat

Bug 550299: User fields are left blank in buglists and whines when local user accounts are used (i.e. they have no @company.com suffix)
r=mkanat a=LpSolit

Bug 692354: Incorrect parameter type in WebServices documentation for Bug.add_comment
r/a=mkanat

Bug 707594: Fix broken account lockout notifications
r=LpSolit, a=LpSolit

Bug 701350: Oracle crashes if the 'maxattachmentsize' parameter is set to a too small value
r/a=mkanat

Bug 591610: Custom field doc doesn't include 'Bug ID' type
r=timello a=LpSolit

Bug 591636: "is mandatory" is not documented in the Custom Fields section
r=timello a=LpSolit

Bug 706118: Session token not deleted during a bug mass-change
r=glob a=LpSolit

Bug 277073: Make whining trap errors thrown by Search.pm
r=wicked a=LpSolit

Fix missing-space bugs in error messages. a=LpSolit.

https://bugzilla.mozilla.org/show_bug.cgi?id=698737

Bug 685552 - Email auto-completion causes server to thrash
r/a=mkanat

Bug 686860: Correctly calculate Hours Worked in buglists
r/a=mkanat

Bug 691243: Fix typo
r/a=LpSolit

Bug 620694: MySQL is not 'required' RDBMS for Bugzilla
r=dkl a=LpSolit

Bug 445804: Suggested crontab configuration opens security hole
r/a=mkanat

Bug 691845: importxml.pl complains if an open bug has the resolution field set to ''
r=dkl a=LpSolit

$user->is_mover no longer exists, see bug 556422

Bug 682203 - migrate.pl fails at requirements check.
r/a=mkanat

Bug 680780: Advanced Search: help for field Comment is missing a space
r=wicked a=LpSolit

Bug 682747: Wrong check in editusers.cgi
r/a=mkanat

Bug 622487: Product and component mismatch: a product without any component gets components of another product in the Advanced Search page
r=mkanat a=LpSolit

Bug 678844: When trying to edit a non-existent classification, the error message has missing words
r=glob a=LpSolit

Bug 678772: version.pm 0.92 and newer forbids negative values, making checksetup.pl to fail
r/a=mkanat

Bug 654496: Duplicate bug detection doesn't work when using Oracle
r/a=mkanat

Bug 582209: Bugzilla::DB::Oracle::adjust_statement() LIMIT code corrupts sub-selects
r/a=mkanat

Bug 460074: Make post_bug.cgi use should_set for the group field, so it
are undef in Bugzilla::Bug->create if not passed to post_bug. This fixes
a bug with the guided bug form creating bugs without any groups.
r=LpSolit, a=mkanat

Bug 677187: If the attachment filename contains a newline, an error is thrown when trying to download the attachment
r=mkanat a=LpSolit

Bump version number post-release.

Bump version number for 4.0.2.

https://bugzilla.mozilla.org/show_bug.cgi?id=660531

Bug 670868: (CVE-2011-2978) [SECURITY] Account preferences page trusts user-modifiable field for obtaining current e-mail address
r/a=LpSolit

Bug 637981: (CVE-2011-2379) [SECURITY] "Raw Unified" patch diffs can cause XSS on this domain in IE 6-8 and Safari
r/a=LpSolit

Bug 660502: (CVE-2011-2977) [SECURITY] Temporary files for uploaded attachments are not deleted on Windows
r=glob a=LpSolit

Bug 653477: (CVE-2011-2380) [SECURITY] Group names can be guessed when creating or editing a bug
r=mkanat a=LpSolit

Bug 657158 - (CVE-2011-2381) [SECURITY] Request email headers for attachment containing newline are corrupt
[r=LpSolit a=LpSolit]

Bug 676237: The traceback in code-error.html.tmpl is displayed on a single line
r=glob a=LpSolit