一部のサイトテキストをカスタマイズしようとすると「アクセス拒否」エラーが発生します

[Moin]

@tobiaseigen

/admin/customize/site_texts?q=confirm%20old

リンクがロケールパラメータなしで機能したことは一度もなかったように思います。

/admin/customize/site_texts?q=confirm%20old&locale=en は私にとってはうまく機能します。

また、「確認古いメール」のテキストをカスタマイズできないのは意図したものであると思います。これはスタッフにのみ送信されるメールです。

@codinghorror

しかしながら

ハッカーは古いメールアドレスの確認テンプレートを編集しました。これにより、「はい、この古いメールアドレスの変更を検証してください」というURLが含まれるようになり、これが古いメールアドレスに送信され、クリックされると、ハッカーは突然、自分が管理する新しいメールアドレスに変更する権限を得ました

これは非常に高度で詳細な攻撃であることに留意してください。すでに強く推奨されているプラクティスにより、多くのレベルで停止できたはずです。上記の電球の吹き出し を参照してください。

それでも、Discourse ではデフォルトで安全であることを強く信じており、この話を綿密に分析した後、さらに改善できることがあると考えています。その結果、管理者であっても、この特定のメールテンプレートを変更できないように変更を加えました。これはまれなケースだと考えていますが、対処する価値があります。なぜなら：

• この特定のメールテンプレートは、古いメールアドレスと新しいメールアドレスの両方を確認する必要があるため、メール変更時にスタッフにのみ送信されます。一般ユーザーの場合、確認が必要なのは新しいメールアドレスのみです。したがって、化粧デザイン上の理由でこのテンプレートを変更しても、一般ユーザーには決して表示されず、スタッフにのみ表示されるため、重要ではありません。
• 上記の実際に起こった現実世界の事例で示されているように、管理者がこのテンプレートを変更することを許可するリスクは高すぎます。この事例は、攻撃者が Discourse データベース全体にアクセスすることを可能にした重要なステップでした。