La redención de invitaciones permitió al usuario acceder al foro ANTES de la aprobación

Nuestro Foro tiene estas configuraciones:

  1. login_required ACTIVADO
  2. must_approve_users ACTIVADO
  3. min_trust_level_to_allow_invite 2 : member

Al probar las invitaciones de nuestro foro, noté que:

  1. Cuando un usuario TL2 invita a otro usuario por correo electrónico y
  2. Hacen clic en el enlace de invitación en su correo electrónico y
  3. Completan los campos y lo envían

Esto sucede → son llevados directamente al Foro (como si estuvieran pre-aprobados) y pueden leerlo a voluntad. No deberían poder hacer esto hasta que sean aprobados.

De hecho, permanecen sin aprobar. Si intentan acceder al sitio nuevamente, se les impide con el mensaje estándar “no estás aprobado”.

5 Me gusta

De hecho, puedo reproducir esto en 2.8.0.beta10 ( bbca25e875 )

3 Me gusta

Puedo confirmar en mi sitio de prueba (17ec3bc5b9)

  • Se requiere iniciar sesión
  • Se deben aprobar los usuarios
  • TL2 puede enviar invitaciones

Y mi invitado pudo ver y publicar en esa ‘visita de registro’ sin ser aprobado.

3 Me gusta

Esta es una situación complicada.

No tenemos ninguna implementación en este momento para “Espera hasta que alguien apruebe tu cuenta”.

De hecho, no estoy seguro de que tenga sentido, ¿por qué invitarías a alguien al foro solo para que sea bloqueado?

Yo diría que tu solución provisional inmediata es deshabilitar las invitaciones en tl2/3… eso al menos cerrará esta peculiaridad.

Supongo que deberíamos, al menos provisionalmente, deshabilitar completamente la invitación para no miembros del personal cuando must_approve_users esté ACTIVADO.

@dan ¿qué opinas?

9 Me gusta

Hecho. Por supuesto, los TL4 seguirán teniendo el problema, pero en realidad no tengo ninguno de esos, ¡así que todo bien!

Eso me parece bien como solución permanente.

¡Me sorprendió un poco que mis clientes pudieran invitar a otros!

6 Me gusta

Estoy dividido en esto porque entiendo ambos lados. Sin embargo, creo que el status quo es un poco engañoso porque no todos los usuarios que se registran deben ser aprobados.

Hasta cierto punto, supongo que depende de la comunidad y de cuánta confianza depositas en tus usuarios. Quizás en el futuro must_approve_users pueda ser un menú desplegable: no, sí o si no está invitado.

Voy a poner esto en mi lista de TODO.

6 Me gusta

Resuelto a través de SECURITY: Do not sign in unapproved users (#15552) · discourse/discourse@584c6a2 · GitHub. ¡Gracias por el informe @nathank!

6 Me gusta

Este tema se cerró automáticamente después de 31 horas. Ya no se permiten nuevas respuestas.