Вставка ссылки на категорию в редактор раскрывает скрытые подкатегории

:wave:

Я только что наткнулся на это в другом сообществе. В данном случае должны быть видны только категории Espanol и Francais. Если нажать «Private», появится сообщение «Эта страница не существует или является приватной».

Я попытался воспроизвести это на Meta и, вставив URL некоторых категорий в редактор, обнаружил, что в Support есть категория «Bot testing», к которой у меня нет доступа, но я могу её видеть.

5 лайков

Я протестировал это здесь и в другом сообществе и обнаружил, что, хотя подкатегории отображаются, любые приватные категории верхнего уровня не демонстрируют эту проблему.

Например, если я ссылаюсь и на категорию «Поддержка» (публичная категория), и на категорию «Эксперты Discourse» (приватная категория), то вставка в категории «Эксперты» не появляется (это может быть сделано намеренно, но я счёл это интересным). Таким образом, если у меня есть доступ к приватной категории верхнего уровня, но не ко всем её подкатегориям, я не смогу увидеть подкатегории при ссылке на категорию верхнего уровня в редакторе.

Поднимаю эту тему, так как я всё ещё могу воспроизвести проблему здесь на Meta: https://meta.discourse.org/c/support/6

Это небольшая уязвимость безопасности?

Например, если у вас есть родительская категория поддержки для клиентов (каждый из которых имеет свою приватную подкатегорию, недоступную для других клиентов), они могут с помощью этого трюка незаметно получить список ваших других клиентов.

3 лайка

Также, возможно, проблема UX из-за отсутствия отступов:
image

2 лайка

Сначала я так и подумал, но раз ничего не было сделано, я предположил, что это на самом деле не так уж и плохо.

2 лайка

Мне удалось воспроизвести проблему. Спасибо за отчет, Ондржей :slight_smile:

3 лайка