Moin
Août 8, 2025, 3:48
4
Je ne me souviens pas que le lien ait jamais fonctionné sans paramètre de locale
/admin/customize/site_texts?q=confirm%20old&locale=en fonctionne bien pour moi.
Et je pense que le fait que vous ne puissiez pas personnaliser le texte « confirmer l’ancien e-mail » est intentionnel. C’est un e-mail envoyé uniquement au personnel.
codinghorror:
Cependant
a modifié le modèle d’e-mail de confirmation de l’ancien compte du personnel , de sorte qu’il incluait l’URL « oui, validez ce changement d’ancien e-mail » et une fois que cela a été envoyé à l’ancien e-mail et cliqué , le pirate informatique a soudainement eu la permission de changer l’ancien e-mail en un nouveau qu’il contrôle
Gardez à l’esprit qu’il s’agit d’une attaque très sophistiquée et approfondie , et qu’elle aurait pu être arrêtée à de nombreux niveaux supérieurs avec des pratiques déjà fortement recommandées, il suffit de lire les encadrés d’ampoule
Néanmoins, nous croyons fermement en la sécurité par défaut chez Discourse, et nous pensons que nous pouvons faire plus après avoir analysé attentivement cette histoire. En conséquence, nous venons d’implémenter un changement tel que personne , pas même un administrateur, ne peut modifier ce modèle d’e-mail particulier. Nous pensons qu’il s’agit d’un cas rare, mais qu’il mérite d’être traité, car :
ce modèle d’e-mail particulier est uniquement envoyé au personnel lors d’un changement d’e-mail, car les adresses e-mail anciennes et nouvelles doivent être confirmées. Pour un utilisateur régulier, seule la nouvelle adresse e-mail doit être confirmée. Changer ce modèle pour des raisons de conception cosmétique ne serait donc vu que par le personnel, jamais par les utilisateurs réguliers, et est donc sans importance.
le risque d’autoriser les administrateurs à modifier ce modèle est trop élevé, comme l’illustre l’histoire VRAIE ci-dessus qui s’est réellement produite et qui a été l’étape critique qui a permis à l’attaquant d’accéder à la base de données complète de Discourse.
2 « J'aime »
