# Vulnerabilidade de enumeração de email na caixa de diálogo "Redefinir senha"

**URL:** <https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449>\
**Category:** UX\
**Created:** [Agosto 1, 2023, 7:37am UTC](https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449 "2023-08-01T07:37:41Z")\
**Posts on this page:** 1\
**Showing post:** 21

<div class="post-metadata">

**Author:** ![dobon](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/dobon/32/45119_2.png) [@dobon](https://meta.discourse.org/u/dobon)\
**Post date:** [Agosto 4, 2023, 9:52am UTC](https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449/21 "2023-08-04T09:52:21Z")

</div>

Sugiro que renomeemos a `SiteSetting` `hide_email_address_taken` para `prevent_password_recovery_by_username`, e então refatoramos o comportamento não conforme para fora do aplicativo para todos os usuários. Isso preservaria a funcionalidade de redefinição de senha sem alterações para todas as instalações, ao mesmo tempo em que abordaria a vulnerabilidade de enumeração de e-mail. Sou um desenvolvedor experiente em RoR + javascript e ficaria feliz em implementar este pull request; dei uma olhada rápida no codebase e posso ver que não seria um PR muito extenso.

Se refatorar essa ‘funcionalidade’ para fora de existência realmente não for uma opção, ainda acho que faz sentido desacoplar esses dois conceitos relacionados em entradas separadas de `SiteSetting`.

---

_[View the full topic](https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449)._