Update until v2.56.0

Author: dormant-user

auth/json.go

@@ -18,6 +18,10 @@ import (
 // MethodJSONAuth is used to identify json auth.
 const MethodJSONAuth settings.AuthMethod = "json"
 
+// dummyHash is used to prevent user enumeration timing attacks.
+// It MUST be a valid bcrypt hash.
+const dummyHash = "$2a$10$O4mEMeOL/nit6zqe.WQXauLRbRlzb3IgLHsa26Pf0N/GiU9b.wK1m"
+
 type jsonCred struct {
 	Password  string `json:"password"`
 	Username  string `json:"username"`
@@ -221,6 +225,9 @@ func (a JSONAuth) Auth(r *http.Request, usr users.Store, _ *settings.Settings, s
 	u, err := usr.Get(srv.Root, cred.Username)
 	if err != nil {
 		log.Printf("Warning: Login error for %s - lookup failed: %v", cred.Username, err)
+		// Even if the user is not found, we check the password against a dummy hash
+		// to prevent user enumeration timing attacks.
+		users.CheckPwd(cred.Password, dummyHash)
 		handleAuthError(r)
 		return nil, os.ErrPermission
 	}

cmd/users.go

@@ -27,7 +27,7 @@ var usersCmd = &cobra.Command{
 
 func printUsers(usrs []*users.User) {
 	w := tabwriter.NewWriter(os.Stdout, 0, 0, 2, ' ', 0)
-	fmt.Fprintln(w, "ID\tUsername\tScope\tLocale\tV. Mode\tS.Click\tAdmin\tExecute\tCreate\tRename\tModify\tDelete\tShare\tDownload\tPwd Lock")
+	fmt.Fprintln(w, "ID\tUsername\tScope\tLocale\tV. Mode\tS.Click\tRed. After C/M\tAdmin\tExecute\tCreate\tRename\tModify\tDelete\tShare\tDownload\tPwd Lock")
 
 	for _, u := range usrs {
 		fmt.Fprintf(w, "%d\t%s\t%s\t%s\t%s\t%t\t%t\t%t\t%t\t%t\t%t\t%t\t%t\t%t\t%t\t%t\t\n",

frontend/package.json

@@ -71,5 +71,5 @@
     "vite-plugin-compression2": "^2.3.1",
     "vue-tsc": "^3.1.3"
   },
-  "packageManager": "pnpm@10.28.0+sha512.05df71d1421f21399e053fde567cea34d446fa02c76571441bfc1c7956e98e363088982d940465fd34480d4d90a0668bc12362f8aa88000a64e83d0b0e47be48"
+  "packageManager": "pnpm@10.28.1+sha512.7d7dbbca9e99447b7c3bf7a73286afaaf6be99251eb9498baefa7d406892f67b879adb3a1d7e687fc4ccc1a388c7175fbaae567a26ab44d1067b54fcb0d6a316"
 }

frontend/pnpm-lock.yaml

@@ -42,8 +42,14 @@ export async function update(
   });
 }
 
-export async function remove(id: number) {
+export async function remove(
+  id: number,
+  currentPassword: string | null = null
+) {
   await fetchURL(`/api/users/${id}`, {
     method: "DELETE",
+    body: JSON.stringify({
+      ...(currentPassword != null ? { current_password: currentPassword } : {}),
+    }),
   });
 }

frontend/src/api/users.ts

@@ -185,3 +185,7 @@ html[dir="rtl"] .breadcrumbs a {
 .vfm-modal {
   z-index: 9999999 !important;
 }
+
+body > div[style*="z-index: 9990"] {
+  z-index: 10000 !important;
+}

frontend/src/css/base.css

@@ -233,6 +233,7 @@
     "permissions": "الصلاحيات",
     "permissionsHelp": "يمكنك تعيين المستخدم كـ \"مدير\" أو تحديد الصلاحيات بشكل منفرد.\n    إذا قمت بتحديد المستخدم كـ \"مدير\"، باقي الخيارات سيتم تحديدها تلقائياً.\n    إدارة المستخدمين تبقى صلاحية فريدة للـ \"مدير\" فقط.\n",
     "profileSettings": "إعدادات الحساب",
+    "redirectAfterCopyMove": "الانتقال إلى الموقع الجديد بعد النسخ/النقل",
     "ruleExample1": "منع الوصول إلى الملفات التي تبدأ بنقطة مثل (.git، و .gitignore) في كل مجلد.\n",
     "ruleExample2": "منع الوصول إلى الملف المسمى Caddyfile في نطاق الجذر.",
     "rules": "المجموعات",

frontend/src/i18n/ar.json

@@ -233,6 +233,7 @@
     "permissions": "Разрешения",
     "permissionsHelp": "Можете да зададете потребител да бъде администратор или да изберете разрешения индивидуално. Ако изберете \"Администратор\" всички други опции ще бъдат автоматично отметнати. Управлението на потребителите е привилегия на администратор.\n",
     "profileSettings": "Настройки на Профила",
+    "redirectAfterCopyMove": "Пренасочване към дестинацията след копиране/преместване",
     "ruleExample1": "предотвратете достъпа до всеки файл започващ с точка (като .git, .gitignore) във всяка папка.\n",
     "ruleExample2": "блокира достъпа до файл именуван Caddyfile поставен в началото за обхвата.",
     "rules": "Правила",

frontend/src/i18n/bg.json

@@ -233,6 +233,7 @@
     "permissions": "Permisos",
     "permissionsHelp": "Pots nomenar l'usuari com a administrador o triar els permisos individualment. Si selecciones \"Administrador\", totes les altres opcions s'activaran automàticament. L'administració d'usuaris és un privilegi d'administrador.\n",
     "profileSettings": "Ajustos del perfil",
+    "redirectAfterCopyMove": "Redirigir a la destinació després de copiar/moure",
     "ruleExample1": "prevé l'accés a una extensió de fitxer (Com .git) en cada carpeta.\n",
     "ruleExample2": "bloqueja l'accés al fitxer anomenat Caddyfile a la carpeta arrel.",
     "rules": "Regles",

frontend/src/i18n/ca.json

@@ -233,6 +233,7 @@
     "permissions": "Oprávnění",
     "permissionsHelp": "Můžete nastavit uživatele jako administrátora nebo zvolit jednotlivá oprávnění. Pokud vyberete \"Administrátor\", všechny ostatní možnosti budou automaticky zaškrtnuty. Správa uživatelů zůstává výsadou administrátora.\n",
     "profileSettings": "Nastavení profilu",
+    "redirectAfterCopyMove": "Přesměrovat na cíl po kopírování/přesunutí",
     "ruleExample1": "zabraňuje přístupu k jakémukoli skrytému souboru (např. .git, .gitignore) v každé složce.\n",
     "ruleExample2": "blokuje přístup k souboru s názvem Caddyfile v kořenovém adresáři.",
     "rules": "Pravidla",