尝试自定义某些网站文本时出现“访问被拒绝”错误

[Moin]

@tobiaseigen

/admin/customize/site_texts?q=confirm%20old

我不记得这个链接在没有区域参数的情况下起作用过

对我来说，/admin/customize/site_texts?q=confirm%20old&locale=en 可以正常工作。

而且我认为无法自定义“确认旧电子邮件”文本是故意的。这封邮件只发送给员工。

@codinghorror

然而

黑客编辑了员工的旧电子邮件确认模板，使其包含“是的，验证此旧电子邮件更改”的 URL，然后一旦将其发送到旧电子邮件地址并点击，黑客就突然获得了更改旧电子邮件地址为他控制的新电子邮件的权限

请记住，这是一次非常复杂、深入的攻击，可以通过许多层面的措施来阻止，只需阅读上面的灯泡提示 即可。

尽管如此，我们仍然坚信 Discourse 的默认安全，并且在仔细分析了这个故事之后，我们认为我们可以做得更多。因此，我们刚刚实施了一项更改，即没有人，即使是管理员，也可以修改该特定电子邮件模板。我们认为这是一个罕见的案例，但值得解决，因为：

• 这个特定的电子邮件模板只会在更改电子邮件时发送给员工，因为旧和新电子邮件地址都必须确认。对于普通用户，只需要确认新电子邮件地址。因此，出于化妆设计原因更改此模板只会由员工看到，普通用户永远看不到，因此不重要。
• 允许管理员更改此模板的风险太高，如上面实际发生的真实世界故事所示，这是攻击者能够访问整个 Discourse 数据库的关键步骤。