.eml ファイルのアップロードで不要なユーザーが作成され、他人の PM が送信されてしまう

貢献 バグ
1

当グループは厳密に非公開であり、グループへの参加が許可されていない「スポンサー」の是非について議論しています。SSO を使用しています。利用者の 2 名がプライベートメッセージをやり取りし、そのうち 1 人が eml（メール）ファイルを PM にアップロードしました。その eml ファイルには、3 人のスポンサーのメールアドレスが含まれていました。Discourse はこれらのメールアドレスを検出し、スポンサーをステージングユーザーとして追加しました。さらに、彼らがまだステージング状態であるにもかかわらず、PM 内のその後の投稿をスポンサーにメール送信してしまいました。これは明らにプライバシー侵害です。

公平を期すために申し上げますと、私はアップロード可能なファイルタイプを「*」、つまりすべてのアップロードを許可するように設定していました。デフォルトでは eml ファイルをアップロードすることはできませんでした。しかし、Word ドキュメントの場合はどうでしょうか？Discourse はそれからもメールアドレスをスキャンしてユーザーとして追加するのでしょうか？

再現手順:

  1. PM を開始する
  2. 元のカレ/カノからの古いメールを見つける
  3. eml ファイルを PM にアップロードする
  4. 元のカレ/カノがステージングユーザーとして追加される
  5. PM を続ける
  6. 元のカレ/カノにメールが届く
「いいね！」 1
2

.eml ファイルがアップロードされたことは確実ですか、それとも誰かが PM にメールを転送したのでしょうか？

アップロードされたファイルを特別処理してステージングユーザーを作成する仕組みはありませんが、受信メールはサイトの設定次第でステージングユーザーを作成する可能性があります。forwarded_emails_behaviour や enable_staged_users などの設定を確認することをお勧めします。

「いいね！」 5
3

これは受信メールでした：

image

受信メールは eml 添付ファイル(?)として表示され、それによってステージドユーザーが作成されました：

image
image948×518 28.8 KB

私の設定です。したがって、「ステージドユーザーを有効化」のチェックを外します。このオプションには確かに有効なユースケースがあるはずです。

image
image510×131 4.54 KB

image

「いいね！」 4