# スタッフ生成の招待は must\_approve\_users 要件をバイパスします **URL:** \ **Category:** Feature\ **Tags:** invites\ **Created:** [2022 年 5 月 26 日午後 8:37 UTC](https://meta.discourse.org/t/staff-generated-invites-bypass-the-must-approve-users-requirement/228199 "2022-05-26T20:37:13Z")\ **Posts on this page:** 1\ **Showing post:** 1
**Author:** ![Wall-E](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/wall-e/32/184438_2.png) [@Wall-E](https://meta.discourse.org/u/Wall-E)\ **Post date:** [2022 年 5 月 26 日午後 8:37 UTC](https://meta.discourse.org/t/staff-generated-invites-bypass-the-must-approve-users-requirement/228199/1 "2022-05-26T20:37:13Z")
招待システムに深刻なセキュリティ問題が発生しました。再現も容易だと思われます。当サイトは招待制です。さらに、設定で「ユーザーの承認が必要」にチェックを入れています。 スタッフの一人が、特定の一つのメールアドレスに限定されない、使用回数上限が1より大きい招待（下記参照）を発行しました。 ![2022-05-26 16_24_30-Profile - Wall-E - Helionauts](https://global.discourse-cdn.com/meta/original/4X/5/9/3/59334c06037a0b3dc4fddddec2b4cf1927bb4cd2.png) その招待リンクが拡散され、それを使って登録することができました。しかし、「ユーザーの承認が必要」が設定でチェックされている場合、スタッフはこれらの「メールアドレス制限なし」の招待を使用するすべての人を承認する必要があると考えていました。それにもかかわらず、そのリンクを持っていれば誰でも自動的に受け入れられてしまいました。つまり、そのリンクは誰でも使用でき、誰がそれを使って参加したかを確認できません。承認後（確認後）に求める、必須項目であるメールアドレス、氏名、その他のフィールドの組み合わせを使用して、スタッフが「バックグラウンドチェック」できるようにする必要があります。 これにより、厳しく禁止されている外国組織の人物がそのリンクを入手し、登録してしまったため、深刻な問題が発生しました。すぐにそのアカウントを削除しなければなりませんでした。これは私たちにとって深刻な抜け穴です。 したがって、「ユーザーの承認が必要」という設定は、非常に誤解を招くものだと感じています。現在、サイトが招待制の場合、そのオプションは無意味です。 メールアドレスに制限のない招待リンクを使用するユーザーを、スタッフが承認できるようにする方法はありますか？サイトが招待制の場合、「ユーザーの承認が必要」を有効にする論理的な方法のように思えます。 ![2022-05-26 16_19_31-Admin - Helionauts](https://global.discourse-cdn.com/meta/original/4X/b/e/6/be658b882a47f9b52db30195fd8ecc41288e4f24.png) --- _[View the full topic](https://meta.discourse.org/t/staff-generated-invites-bypass-the-must-approve-users-requirement/228199)._