ユーザー変更における致命的な CSRF 脆弱性

[tschuerle (Thomas)]

こんにちは、皆さん。

現在、["BAD CSRF"] エラー（403 Forbidden）が発生しています。
API キーを使用したリクエストは以下の通りです：
URL: https://<domain>/u/tschuerle.json?api_key=<valid key>&api_username=tschuerle
Body: { "hide_profile_and_presence": true }
Method: PUT
Headers: "Content-Type" を "application/json" に設定

Web フックのログによると、4 月までは正常に動作していました。現在は最新の安定版 2.5.0 を実行しています。

ユースケース：Web フック経由でユーザー作成後にプロフィールを非公開にし、ユーザー自身がプロフィールを公開するか判断できるようにすることです。

何かヒントはありませんか？

よろしくお願いいたします、
トーマス

[Falco]

@tschuerle

URL: https://<domain>/u/tschuerle.json?api_key=<有効なキー>&api_username=tschuerle

API キーは、URL パラメータの代わりにヘッダーとして設定する必要があります。詳細については docs.discourse.org を確認してください。

[tschuerle (Thomas)]

あ、それを見落としていました。それで動いています
@Falco さん、ありがとうございます