Erreur d'accès refusé lors de la tentative de personnalisation de certains textes du site

[jordan-violet]

De plus, puisque j’ai commencé dans cette voie, j’obtiens maintenant ceci lorsque j’essaie de modifier certains textes du site :

[tobiaseigen]

Je suis capable de reproduire cela. C’est cette URL qui ne fonctionne pas :

/admin/customize/site_texts?q=confirm%20old

[Moin]

@tobiaseigen

/admin/customize/site_texts?q=confirm%20old

Je ne me souviens pas que le lien ait jamais fonctionné sans paramètre de locale

/admin/customize/site_texts?q=confirm%20old&locale=en fonctionne bien pour moi.

Et je pense que le fait que vous ne puissiez pas personnaliser le texte « confirmer l’ancien e-mail » est intentionnel. C’est un e-mail envoyé uniquement au personnel.

@codinghorror

Cependant

le pirate informatique a modifié le modèle d’e-mail de confirmation de l’ancien compte du personnel, de sorte qu’il incluait l’URL « oui, validez ce changement d’ancien e-mail » et une fois que cela a été envoyé à l’ancien e-mail et cliqué, le pirate informatique a soudainement eu la permission de changer l’ancien e-mail en un nouveau qu’il contrôle

Gardez à l’esprit qu’il s’agit d’une attaque très sophistiquée et approfondie, et qu’elle aurait pu être arrêtée à de nombreux niveaux supérieurs avec des pratiques déjà fortement recommandées, il suffit de lire les encadrés d’ampoule ci-dessus.

Néanmoins, nous croyons fermement en la sécurité par défaut chez Discourse, et nous pensons que nous pouvons faire plus après avoir analysé attentivement cette histoire. En conséquence, nous venons d’implémenter un changement tel que personne, pas même un administrateur, ne peut modifier ce modèle d’e-mail particulier. Nous pensons qu’il s’agit d’un cas rare, mais qu’il mérite d’être traité, car :

• ce modèle d’e-mail particulier est uniquement envoyé au personnel lors d’un changement d’e-mail, car les adresses e-mail anciennes et nouvelles doivent être confirmées. Pour un utilisateur régulier, seule la nouvelle adresse e-mail doit être confirmée. Changer ce modèle pour des raisons de conception cosmétique ne serait donc vu que par le personnel, jamais par les utilisateurs réguliers, et est donc sans importance.
• le risque d’autoriser les administrateurs à modifier ce modèle est trop élevé, comme l’illustre l’histoire VRAIE ci-dessus qui s’est réellement produite et qui a été l’étape critique qui a permis à l’attaquant d’accéder à la base de données complète de Discourse.

[tobiaseigen]

Est-ce donc aussi un bug d’ UX ? Il ne devrait pas être possible d’atterrir sur une page cryptique « Accès refusé » lors de la recherche de textes de site et de leur modification.

[RGJ (Richard - Communiteq)]

Le message personnalisé ne semble pas s’afficher dans l’interface utilisateur ?

[Moin]

@Moin

C’est un e-mail envoyé uniquement au personnel

Il a été porté à mon attention que depuis le message de Codinghorror, le paramètre require change email confirmation a été ajouté. Cela signifie que le message peut maintenant être envoyé à plus que le personnel.

La raison initiale du blocage des modifications de ce modèle était valide à l’époque, mais aujourd’hui, la protection qu’il offre est différente. Un attaquant qui connaît le mot de passe d’un administrateur peut simplement :

1. Utiliser le mot de passe pour configurer l’authentification à deux facteurs pour ce compte.
2. Créer un nouveau compte.
3. Utiliser le code 2FA pour accorder des droits d’administrateur au nouveau compte.

À partir de là, ils peuvent envoyer la sauvegarde à leur propre adresse e-mail sans avoir besoin qu’un administrateur clique sur un lien pour confirmer un changement d’adresse.

La question est donc : le blocage des modifications de ce modèle a-t-il encore un sens ? Il est maintenant envoyé aux utilisateurs réguliers et ne protège plus le téléchargement d’une sauvegarde.

De plus, Data Explorer est maintenant toujours installé et peut être utilisé pour accéder à la base de données.