Somos un grupo estrictamente privado y debatimos sobre las ventajas de los “patrocinadores”, quienes no están permitidos en el grupo. Utilizamos SSO. Dos de nuestros usuarios intercambiaron un mensaje privado y uno de ellos cargó un archivo .eml (correo electrónico) en el mensaje. El archivo .eml contenía las direcciones de correo electrónico de tres patrocinadores. Discourse detectó esas direcciones, agregó a los patrocinadores como usuarios en estado de espera y, aunque aún estaban en ese estado, les envió por correo electrónico publicaciones posteriores del mensaje privado. Obviamente, esto violó nuestra privacidad.
Para ser justos, yo había habilitado el tipo de archivo de carga permitido como “*”, es decir, permitir todas las cargas. Por defecto, no podrían haber cargado un archivo .eml. Pero, ¿qué pasa con un documento de Word? ¿Escaneará Discourse su contenido en busca de direcciones de correo electrónico y las agregará como usuarios?
Para reproducir el problema:
- Inicia un mensaje privado
- Busca un correo electrónico antiguo de tu ex
- Carga el archivo .eml en el mensaje privado
- Tu ex ahora es un usuario en estado de espera
- Continúa el mensaje privado
- Tu ex recibe correos electrónicos
