当前，通过请求密码重置可能导致电子邮件泄露。攻击者可以向该软件批量发送电子邮件，从而在不访问这些邮箱的情况下，判断哪些邮箱已注册账户、哪些没有。这极其危险。
1 个赞
这不是一个漏洞。我们有一个名为“隐藏已注册邮箱地址”的站点设置，可以防止这种情况。
此外，登录操作还设有速率限制，因此很难通过暴力破解来批量尝试大量邮箱地址。
5 个赞
这不应该藏在设置里……
这是在可用性和安全性之间做出的权衡（许多情况都是如此）。用户因使用错误的邮箱地址登录而感到沮丧是很常见的，告知他们该邮箱不存在有助于缓解这一问题。对于需要额外安全性的网站，可以启用相关选项。
我们已采取其他措施来降低风险，并且在数百个 Discourse 站点中并未遇到重大问题。
7 个赞
This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.