Moin
8 Agosto, 2025 15:48
4
No recuerdo que el enlace haya funcionado alguna vez sin un parámetro de localización
/admin/customize/site_texts?q=confirm%20old&locale=en funciona bien para mí.
Y creo que el hecho de que no puedas personalizar el texto “confirmar correo antiguo” es intencionado. Es un correo electrónico que solo se envía al personal.
codinghorror:
Sin embargo
editó la plantilla de confirmación de correo electrónico antiguo del personal , de modo que incluía la URL “sí, valida este cambio de correo electrónico antiguo” y, una vez que se envió al correo electrónico antiguo y se hizo clic , el hacker de repente tuvo permiso para cambiar el correo electrónico antiguo a uno nuevo que controla
Tenga en cuenta que este es un ataque muy sofisticado y profundo , y podría haberse detenido muchos niveles por encima con prácticas que ya se recomiendan encarecidamente, solo lea las llamadas de atención
Aún así, creemos firmemente en ser seguros por defecto en Discourse, y creemos que hay más que podemos hacer después de analizar de cerca esta historia. Como resultado, acabamos de implementar un cambio tal que nadie , ni siquiera un administrador, puede modificar esa plantilla de correo electrónico en particular. Creemos que es un caso raro, pero vale la pena abordarlo, porque:
esta plantilla de correo electrónico en particular solo se envía al personal en caso de cambio de correo electrónico, ya que tanto la dirección de correo electrónico antigua como la nueva deben confirmarse. Para un usuario normal, solo la dirección de correo electrónico nueva necesita confirmarse. Por lo tanto, cambiar esta plantilla por razones de diseño cosmético solo sería visto por el personal, nunca por los usuarios normales, y por lo tanto no es importante.
el riesgo de permitir que los administradores cambien esta plantilla es demasiado alto, como lo ilustra la historia REAL del mundo anterior que realmente sucedió, y fue el paso crítico que permitió al atacante acceder a la base de datos completa de Discourse.
2 Me gusta
