Riproduzione:
-
Abilita l’impostazione del sito
hide email address taken, normalmente disabilitata, descritta come: “Non informare gli utenti dell’esistenza di un account con un determinato indirizzo email durante la registrazione e dal modulo password dimenticata.” -
Da una nuova sessione del browser, tenta di accedere con
con email e fornisci un nome utente non valido, ad esempio codinghorror.
Comportamento atteso
Il testo del messaggio di errore proviene da una delle seguenti stringhe, senza rivelare l’esistenza o l’inesistenza di un account.
js.email_login.complete_email:
Se un account corrisponde a codinghorror@example.com, riceverai a breve un’email con un link per l’accesso.
js.email_login.complete_username:
Se un account corrisponde a codinghorror, riceverai a breve un’email con un link per l’accesso.
Comportamento effettivo
Il testo del messaggio di errore indica erroneamente che è stata trovata una corrispondenza positiva, anche quando non esiste alcuna corrispondenza.
js.email_login.complete_email_found:
Abbiamo trovato un account corrispondente a codinghorror@example.com, riceverai a breve un’email con un link per l’accesso.
js.email_login.complete_username_found:
Abbiamo trovato un account corrispondente al nome utente codinghorror, riceverai a breve un’email con un link per l’accesso.
Commenti
Sebbene il funzionamento sia corretto per il processo di “reimpostazione password”, sembra che la stessa logica dovrebbe applicarsi anche al flusso di accesso tramite email.
