CHANGELOG

   1 ---- Changes since 1.140 ----
   2 Fixed a security hole that allowed any user to view the configuration of any module, even those that they should not have access to.
   3 Fixed a security hole that could allow an attacker to lock valid users by sending a bogus username or password.
   4 ---- Changes since 1.150 ----
   5 Updated the setup.sh script to use MD5 password encryption by default, on systems where Perl supports it.
   6 Fixed a security hole in the maketemp.pl script, used to create the /tmp/.webmin directory at install time. If an un-trusted user creates this directory before Webmin is installed, he could create in it a symbolic link pointing to a critical file on the system, which would be overwritten when Webmin writes to the link filename (CVE bug CAN-2004-0559).
   7 When PAM is used for Unix authentication, expired passwords are now detected and the user is prompted to select a new password (if this feature is enabled on the Webmin Configuration module).
   8 Make all functions in ui-lib.pl themable, allowing themes to have more detailed control over modules that make use of this library.
   9 Updated all modules to call ui_print_header instead of calling header and printing <hr>, so that themes can avoid the <hr>. Also updated the MSC theme to do this.
  10 ---- Changes since 1.160 ----
  11 Added support for Solaris 10.
  12 Included several additional translations for various languages and modules.
  13 Added support for config- files that allow a range of OS version numbers, and used this to reduce the number of standard config files.
  14 ---- Changes since 1.170 ----
  15 When installing a module from the command line, by it will be granted to the same users who receive new modules when Webmin is upgraded. By default, this is root and admin.
  16 Added basic support for multiple root directories, so that Webmin modules can be separated into core and third-party on the filesystem.
  17 When installing or upgrading Webmin, password timeouts are now enabled by default. This protects against brute-force password guessing attacks.
  18 ---- Changes since 1.180 ----
  19 All subheadings have been reduced in size when using the default MSC theme.
  20 All modules now use a new API for writing to configuration files, which ensures that the file does not get written to or truncated if the system is out of disk space.
  21 ---- Changes since 1.200 ----
  22 On Solaris systems that support RBAC, available modules and access rights can now be derived from RBAC for selected users. This can be enabled on a per-user or per-module basic in the Webmin Users module.
  23 ---- Changes since 1.210 ----
  24 Added a new Global ACL control option to limit a user to read-only mode. This does not yet support all modules, but in those that are supported any changes the user makes will simply not take effect.
  25 Restarting of Webmin is now much faster in some modules that do not need a full configuration reload, due to the addition of a function that justs tells miniserv.pl to re-read its config file.
  26 ---- Changes since 1.220 ----
  27 Added basic support for running Webmin on Windows system with ActiveState Perl installed. The new setup.pl install script must be used, as the setup.sh shell script cannot run on Windows.
  28 Fixed a bug that could allow a remote attack if the option to use full PAM conversations is enabled.
  29 Improved the Webmin RPM to not lose the /etc/webmin directory when upgrading from an RPM by another vendor (like Mandrake or DAG).
  30 ---- Changes since 1.230 ----
  31 Replaced all calls to the crypt() function with new code that will use the Crypt::UnixCrypt Perl modules on systems for with crypt() is broken.
  32 ---- Changes since 1.240 ----
  33 Fixed a possible security hole caused by a bug in Perl.
  34 ---- Changes since 1.260 ----
  35 Proxy settings made in the Webmin Configuration module are passed on to programs Webmin calls via the http_proxy and ftp_proxy environment variables.
  36 Added automatically created UTF-8 translations for simplified and traditional Chinese.
  37 ---- Changes since 1.270 ----
  38 Updated almost all modules that use tables to use the new ui_columns functions. This allows themes to do highlighting when a row is moved over or selected.
  39 Added a new 'Simple Blue' theme, which uses fewer images and does table row highlighting.
  40 Changed the way that Webmin log diff files are stored, so that they are categorized by action and not all in one huge directory.
  41 ---- Changes since 1.280 ----
  42 Fixed security holes that allow remote read access to any file on the server for which the path is known.
  43 ---- Changes since 1.290 ----
  44 SELinux security contexts are preserved on files safely modified by Webmin's write-and-rename code.
  45 Added xmlrpc.cgi program, which provides an XML-RPC interface to all Webmin module functions.
  46 Tested and improved support for Fedora 5.
  47 ---- Changes since 1.300 ----
  48 Fixed the rare bug about renaming the .webmintmp file.
  49 ---- Changes since 1.310 ----
  50 Module configuration files can now be named based on the real operating system types, such as config-Ubuntu-Linux, which would be used in preference to config-debian-linux.
  51 When a large file is uploaded, it is no longer read into memory by miniserv.pl.
  52 Update the code that fetches mirror sites from Sourceforge, to handle their new website design.
  53 Changed the default theme for all installs to the new framed blue theme.
  54 Updated all rows of links (like select all, invert selection, add something) above tables to use a separator between links.
  55 Added caching for sudo capable user checks, to avoid excessive slow calls to sudo.
  56 Fixed a memory leak when running under ActiveState Perl on Windows.
  57 ---- Changes since 1.320 ----
  58 Fixed XSS bugs in chooser.cgi.
  59 If the operating system is upgraded after Webmin is installed, a button is displayed on the main page to update Webmin's view of the current OS.
  60 Improved the tabs API to add an option to put a box around the visible tab, and whitespace around tabs.
  61 If listening on all specified IP addresses fails, Webmin will fall back to accepting connections on any address.
  62 All Module Config pages are now generating using new ui-lib.pl code, for easier theming.
  63 Added a global access control option to set the Unix user the file browser lists directories as.
  64 ---- Changes since 1.330 ----
  65 Added more ui-lib.pl functions for hidden page sections.
  66 Fixed another XSS bug in chooser.cgi.
  67 The Webmin function to get the system's hostname now reads a file instead of calling the hostname comment, which is faster.
  68 Added an ACL option to the file chooser for additional directories to allow access to.
  69 Changed the way sizes are displayed, to use a format like 1.32 GB or 8 kB.
  70 Removed letter images (used by the old theme), and forced the standard header function to always use text titles.
  71 Added support for Slam64 Linux.
  72 ---- Changes since 1.340 ----
  73 Added Redhat Enterprise release 5 support.
  74 Requests to the /unauthenticated URL can never execute CGI programs, to provide an extra layer of security against URL escaping attacks.
  75 Fixed XSS bugs in pam_login.cgi.
  76 ---- Changes since 1.370 ----
  77 Hid the Jabber and Security Sentries modules by default, as the underlying software is no longer supported.
  78 On Linux systems, sped up the function for finding processes so that it no longer has to launch 'ps' - instead, it reads /proc directly.
  79 When read_file_lines is used to read a file, the Unix or Windows newlines will be preserved when it is written out.
  80 ---- Changes since 1.380 ----
  81 Added a search box to the left frame of the blue theme, for finding modules, config options, help pages and text.
  82 All images, CSS and other static content served by Webmin has an HTTP Expires for 1 week in the future, to improve cachability.
  83 Lock files are automatically removed when the process creating them exits.
  84 NetBSD 4.0 support.
  85 Italian and Catalan translations contributed for many modules, thanks to Giovanni and Jaume Badiella.
  86 Changed the error message that appears when Webmin detects a link from another web page, and removed the button to allow the link (which was unreliable anyway).
  87 ---- Changes since 1.390 ----
  88 Links from unknown referers are now blocked by default, to prevent XSS attacks. This may break browsers that don't supply a Referer: HTTP header.
  89 ---- Changes since 1.400 ----
  90 Big Czech translation updates, thanks to Petr Vanek and the Czech translation team.
  91 All popups in Webmin are now XSS-safe, and thus do not need protection from unknown referers which prevented them from working in some browsers.
  92 All Webmin session IDs are now stored MD5 hashed, to prevent sessions from being captured if the sessiondb DBM is somehow read by an attacker.
  93 Many Dutch updates, thanks to Gandyman.
  94 MD5 encryption for Webmin and Unix passwords can be used on systems that have either the MD5 or Digest::MD5 perl module, or support it in the crypt() function.
  95 ---- Changes since 1.410 ----
  96 Many Korean updates, thanks to Joung Kyun.