用户修改存在严重 CSRF 漏洞

[tschuerle (Thomas)]

大家好，

我们目前遇到了 ["BAD CSRF"] 错误（403，禁止访问）。
使用 API 密钥的请求如下：
URL: https://<domain>/u/tschuerle.json?api_key=<有效密钥>&api_username=tschuerle
请求体：{ "hide_profile_and_presence": true }
方法：PUT
请求头：将 "Content-Type" 设置为 "application/json"

根据 Webhook 日志显示，该功能在 4 月份之前一直正常工作。目前我们运行的是最新的稳定版本 2.5.0。

使用场景：在通过 Webhook 创建用户后，将用户资料设置为私有，并让用户自行决定是否公开其资料。

有任何建议吗？

谢谢，
Thomas

[Falco]

@tschuerle

URL: https://<domain>/u/tschuerle.json?api_key=<有效的密钥>&api_username=tschuerle

API 密钥现在需要作为请求头设置，而不是 URL 参数。详情请查看 docs.discourse.org。

[tschuerle (Thomas)]

哦，我漏掉了。这样确实可以工作
谢谢你 @Falco