「パスワードリセット」ダイアログのメール列挙脆弱性

[JammyDodger]

調べてみたところ、この問題は以前にも何度か発生しているようです。ログイン試行時のレート制限も重要な点の1つだと思います。

Do not leak emails on password reset

This is not a bug. We have a site setting called hide email address taken that prevents it. There are also rate-limits on sign in so it’s not particularly easy to brute force large numbers of email addresses.