Ошибка «Access Denied» при попытке изменить некоторые тексты на сайте

[Moin]

@tobiaseigen

/admin/customize/site_texts?q=confirm%20old

Кажется, я не припоминаю, чтобы эта ссылка когда-либо работала без параметра локали

/admin/customize/site_texts?q=confirm%20old&locale=en у меня работает нормально.

И, я думаю, тот факт, что вы не можете настроить текст «подтвердить старый email», является намеренным. Это письмо отправляется только сотрудникам.

@codinghorror

Однако

хакер отредактировал шаблон подтверждения старого email для сотрудников, добавив туда ссылку «да, подтвердить это изменение старого email», и после того, как это письмо было отправлено на старый адрес и ссылка нажата, хакер внезапно получил разрешение изменить старый email на новый, который он контролирует

Имейте в виду, что это очень изощрённая и глубокая атака, и её можно было остановить на многих уровнях выше, следуя уже настоятельно рекомендуемым практикам — просто прочитайте подсказки в виде лампочек выше.

Тем не менее, мы в Discourse твёрдо верим в принцип безопасности по умолчанию и считаем, что после тщательного анализа этой истории мы можем сделать ещё больше. В результате мы только что внесли изменение, благодаря которому никто, даже администратор, не может изменить этот конкретный шаблон письма. Мы считаем, что это редкий случай, но заслуживающий внимания, потому что:

• этот конкретный шаблон письма никогда не отправляется никому, кроме сотрудников, при смене email, так как должны быть подтверждены как старый, так и новый адреса. Для обычного пользователя требуется подтверждение только нового email. Таким образом, изменение этого шаблона по косметическим или дизайнерским причинам будет видно только сотрудникам, но никогда обычным пользователям, и поэтому не имеет значения.
• риск разрешения администраторам изменять этот шаблон слишком велик, как показывает вышеописанная РЕАЛЬНАЯ история, которая действительно произошла и стала критическим шагом, позволившим злоумышленнику получить доступ ко всей базе данных Discourse.