Reproduzieren:
-
Aktivieren Sie die Site-Einstellung
hide email address taken, die standardmäßig deaktiviert ist und wie folgt beschrieben wird: “Benutzer nicht darüber informieren, dass ein Konto mit einer angegebenen E-Mail-Adresse während der Registrierung und über das Formular ‘Passwort vergessen’ existiert.” -
Versuchen Sie in einer neuen Browsersitzung, sich mit
einzuloggen und geben Sie einen ungültigen Benutzernamen ein, z. B. codinghorror.
Erwartetes Verhalten
Der Fehlermeldetext aus einer der folgenden Zeichenketten wird angezeigt, ohne die Existenz oder Nichtexistenz eines Kontos preiszugeben.
js.email_login.complete_email:
Falls ein Konto mit codinghorror@example.com übereinstimmt, erhalten Sie in Kürze eine E-Mail mit einem Einlog-Link.
js.email_login.complete_username:
Falls ein Konto mit codinghorror übereinstimmt, erhalten Sie in Kürze eine E-Mail mit einem Einlog-Link.
Tatsächliches Verhalten
Der Fehlermeldetext gibt fälschlicherweise an, dass eine positive Übereinstimmung vorlag, auch wenn keine Übereinstimmung bestand.
js.email_login.complete_email_found:
Wir haben ein Konto gefunden, das mit codinghorror@example.com übereinstimmt. Sie erhalten in Kürze eine E-Mail mit einem Einlog-Link.
js.email_login.complete_username_found:
Wir haben ein Konto gefunden, das mit dem Benutzernamen codinghorror übereinstimmt. Sie erhalten in Kürze eine E-Mail mit einem Einlog-Link.
Kommentar
Obwohl dies für den Prozess “Passwort zurücksetzen” korrekt funktioniert, scheint dieselbe Logik auch für den Workflow “Einloggen per E-Mail” gelten zu müssen.
