닫힌 주제 인용 시 작성기에 접근이 금지된 카테고리가 미리 채워짐

[bfsrcproduc2763 (a raisin)]

설명

Hopscotch 포럼의 정기 방문자로서 저는 대부분의 주제 카테고리에 접근할 수 있지만, "공지사항"과 같은 일부 카테고리에는(팀 소속이 아니기 때문에) 주제를 생성할 수 없습니다. 이전에 닫힌 주제에서 게시물을 인용할 때, 인용된 내용은 해당 닫힌 주제가 속해 있는 카테고리로 자동 설정된 새로운 주제 초안에 나타납니다. 이 두 가지 사실이 결합되어 사용자가 일반적으로 생성할 수 없는 카테고리에 주제를 생성할 수 있는 우회로를 만들게 됩니다. 방법은 인용된 게시물을 삭제하고 빈 초안을 일반 주제 초안처럼 취급하는 것입니다.

시연

예를 들어, Discourse Meta 카테고리의 #announcements에 빈 주제 초안이 있습니다. 이 카테고리는 Hopscotch 포럼 버전과 마찬가지로 일반적으로 저에게는 접근이 차단되어 있습니다.

코멘트

저는 개인적으로 이 취약점이 악용되는 것을 본 적이 없지만, 어딘가에서는 이미 사용된 적이 있다고 생각하며, 더 작은 포럼의 리더십 팀이 압도될 정도로 자주 발생한다면 잠재적으로 문제가 될 수 있다고 봅니다.

재현 방법

1. 접근이 차단된 카테고리에서 닫힌 주제를 찾습니다
2. 임의의 게시물을 인용합니다
3. 인용된 내용이 주제 초안에 나타나면 그것을 삭제합니다
4. 이를 빈 일반 주제 초안처럼 취급합니다

[JammyDodger]

Hello and welcome @bfsrcproduc2763

I’ve just given this a quick runthrough on my test site and while it prefills the category in the composer, on creating the topic it serves a permission pop-up:

Did you manage to publish a topic on your test run?

[bfsrcproduc2763 (a raisin)]

I didn’t try. The idea here is that it’s off-limits, so I don’t want to break the rules.

[JammyDodger]

걱정 마세요. 제 생각에는 의도대로 동작하고 있는 것 같지만, 카테고리가 미리 입력되어 있으면 오해의 소지가 있을 수 있다는 점은 공감합니다.

Contribute > UX 채널로 옮길게요.

[Moin]

I wanted to report the same issue today. It’s quite confusing that a category is pre-selected that the user is prohibited from posting in. The error message does not give you any hind why there is an error. So you need to have to knowledge of the categories and their permissions to know why posting the topic failed.
It would be more user-friendly if the error message could prompt you to select a different category or if the category would not be pre-filled when the user is not allowed to post there.

[awesomerobot (Kris)]

작은 수정을 진행 중입니다

UX: check category permission before new topic quote (#30753)