Je suis vraiment désolé de poster publiquement à ce sujet, mais j’ai contacté l’auteur du plugin @kaktak en privé et je n’ai reçu aucune réponse. Il s’agit d’un problème de sécurité qui peut affecter les sites utilisant ce plugin, il m’a donc fallu, à un moment donné, informer la communauté.
Problème de sécurité : le plugin contourne login_required au niveau du site, divulguant ainsi du contenu qui serait normalement protégé par la connexion du site dans le fichier llms.txt public.
Conséquence importante : il ne contourne pas la sécurité de la visibilité des catégories ou des messages privés, donc ce n’est pas aussi grave que cela pourrait l’être !
Le contrôleur du plugin appelle skip_before_action :redirect_to_login_if_required, de sorte que sur un site nécessitant une connexion, la sortie liste des sujets que les utilisateurs anonymes ne peuvent pas voir autrement. Les routes par catégorie et par sujet appliquent bien les vérifications Guardian.
Mon conseil pour les sites nécessitant une connexion est de désactiver ce plugin jusqu’à ce qu’il soit corrigé. Je sais que cela ne concerne peut-être pas beaucoup de sites, car avoir besoin d’un llms.txt et avoir défini « login-required » sont quelque peu mutuellement exclusifs pour la plupart des utilisateurs.
Maintenant qu’un LLMs.txt généré est inclus dans le cœur du système, le besoin de ce plugin est de toute façon réduit.