Bogue : un administrateur peut attribuer un MP à un modérateur n'ayant pas accès aux MP

Contribuer Bug
1

I have noticed what I think is a bug with the Discourse Assign - #117 plugin. It is possible for an admin to assign a PM to a moderator who does not have access to the PM. They are notified, but when they click through to see the PM they cannot see it and get an error.

The answer, it seems to me, should be to add the assignee to the message at the same time, or to display an error to the assigner to let them know the assignee is not in the message and cannot be assigned the message.

This obviously does not affect admins who can see all PMs.

5 « J'aime »
Tickets Plugin :tickets:
2

I can repro this. An assign notification is generated despite the user not having access to the PM assigned. Same issue occurs in categories with security that mods can’t access.

5 « J'aime »
3

Oh yeah interesting edge case what can we do here @sam?

4 « J'aime »
4

I think a minimum change here is to pop up an error saying moderator has no access to the PM when the admin / mod tries to assign.

This particular edge case will become much less of an edge case when we unlock “assign” to designated groups that are not mods.

4 « J'aime »
5

Je viens de tomber là-dessus aujourd’hui : nous constatons que j’ai assigné de nombreux messages à des modérateurs qui n’y ont pas accès et qui, par conséquent, ne les ont pas suivis. Oups.

2 « J'aime »
6

MDR, peut-on se protéger contre ce qui précède, @sam, d’une manière simple ?

3 « J'aime »
7

Cela vient d’arriver, @Roman pourrait peut-être s’en charger.

5 « J'aime »
9

J’ai ouvert une PR pour imposer des règles supplémentaires lors de l’attribution d’un sujet :

  • L’utilisateur que nous allons attribuer doit pouvoir effectuer des attributions.
  • L’utilisateur que nous allons attribuer doit avoir accès au sujet.

Tenter d’attribuer à l’un de ces utilisateurs provoquera une erreur :

48
48649×134 6.17 KB

Je pense que nous devrions également supprimer les utilisateurs sans accès des résultats de la modale d’attribution. Pour cela, je devrai étendre légèrement l’API de recherche d’utilisateurs du cœur.

Voici la PR :

Je trouverai quelqu’un pour l’examiner avant de la fusionner.

6 « J'aime »