![]()
다른 커뮤니티에서 이 문제를 우연히 발견했습니다. 해당 경우, Espanol와 Francais 카테고리만 표시되어야 합니다. 'Private’를 누르면 '이 페이지가 존재하지 않거나 비공개입니다’라는 메시지가 표시됩니다.
Meta에서 이를 재현해 보았더니, 몇몇 카테고리의 URL을 작성기에 붙여넣은 결과, #support에 접근할 수는 없지만 볼 수 있는 ‘Bot testing’ 카테고리가 있음을 발견했습니다.
![]()
다른 커뮤니티에서 이 문제를 우연히 발견했습니다. 해당 경우, Espanol와 Francais 카테고리만 표시되어야 합니다. 'Private’를 누르면 '이 페이지가 존재하지 않거나 비공개입니다’라는 메시지가 표시됩니다.
Meta에서 이를 재현해 보았더니, 몇몇 카테고리의 URL을 작성기에 붙여넣은 결과, #support에 접근할 수는 없지만 볼 수 있는 ‘Bot testing’ 카테고리가 있음을 발견했습니다.
여기서 그리고 다른 커뮤니티에서도 테스트해 보았는데, 하위 카테고리는 표시되지만 모든 최상위 카테고리에서 이 문제가 발생하지는 않습니다.
예를 들어, 지원 카테고리(공개 카테고리)와 Discourse Experts 카테고리(비공개 카테고리)를 모두 링크할 경우, Experts 카테고리에는 임베드가 표시되지 않습니다(설계 의도일 수 있지만 흥미로웠습니다). 따라서 비공개 최상위 카테고리에 접근 권한이 있지만 모든 하위 카테고리에는 접근 권한이 없는 경우, 작성기에서 최상위 카테고리를 링크할 때 하위 카테고리를 볼 수 없습니다.
여전히 https://meta.discourse.org/c/support/6에서 재현이 가능하므로 이 문제를 다시 올립니다.
이것이 작은 보안 문제인가요?
예를 들어, 고객들을 위한 상위 지원 카테고리가 있고 각 고객마다 다른 고객들이 볼 수 없는 비공개 하위 카테고리가 있다고 가정해 보겠습니다. 이 트릭을 사용하면 다른 고객 목록을 몰래 엿볼 수 있습니다.
또한 간격 부족으로 인한 UX 문제일 수도 있습니다:
![]()
처음에는 그렇게 생각했지만, 조치가 취해지지 않았으니 정말 심각하지 않은 줄 알았어요.
재현해 봤습니다. 보고해 주셔서 감사합니다, Ondrej ![]()