일부 사이트 텍스트를 커스터마이징하려고 할 때 'Access Denied' 오류 발생

[Moin]

@tobiaseigen

/admin/customize/site_texts?q=confirm%20old

로케일(locale) 파라미터 없이 해당 링크가 작동했던 적이 있었던 것 같지 않습니다

/admin/customize/site_texts?q=confirm%20old&locale=en은 제 환경에서 정상적으로 작동합니다.

그리고 “구 이메일 확인” 문구를 커스터마이징할 수 없다는 점은 의도된 것으로 보입니다. 이는 스태프에게만 전송되는 이메일이므로

@codinghorror

그러나

해커가 스태프 구 이메일 확인 템플릿을 수정하여 "예, 이 구 이메일 변경을 검증합니다"라는 URL을 포함시켰고, 이 이메일이 구 이메일 주소로 전송된 후 클릭되자 해커는 갑자기 자신이 제어하는 새로운 이메일 주소로 구 이메일 주소를 변경할 수 있는 권한을 얻게 되었습니다

이것은 매우 정교하고 심층적인 공격이라는 점을 유념해 주세요. 그리고 위 강조 표시를 읽어보시면 알 수 있듯이, 이미 강력히 권장되고 있는 관행으로 인해 훨씬 상위의 여러 단계에서 이를 차단할 수 있었습니다.

아직도 우리는 디스코urs에서 *기본적으로 안전(safe by default)*해야 한다는 것을 강력히 믿고 있으며, 이 사례를 면밀히 분석한 결과 더 많은 조치를 취할 수 있다고 생각합니다. 그 결과, 누구도 관리자조차도 그 특정 이메일 템플릿을 수정할 수 없도록 변경을 구현했습니다. 이는 드문 경우이지만, 다음과 같은 이유로 대응할 가치가 있다고 믿습니다:

• 이 특정 이메일 템플릿은 오직 이메일 변경 시 스태프에게만 전송됩니다. 구 이메일 주소와 새 이메일 주소 모두를 확인해야 하기 때문입니다. 일반 사용자의 경우 새 이메일 주소만 확인하면 됩니다. 따라서 이 템플릿을 외관 디자인 목적으로 변경하더라도 스태프만 보고 일반 사용자는 절대 보지 않으므로 중요하지 않습니다.
• 이 템플릿을 관리자가 변경할 수 있게 할 경우의 위험성이 너무 높습니다. 실제로 일어난 위 실제 사례가 이를 잘 보여줍니다. 이 사례는 공격자가 디스코urs 데이터베이스 전체에 접근할 수 있게 해준 결정적인 단계였습니다.