Somos um grupo estritamente privado e discutimos os méritos de “patrocinadores”, que não são permitidos no grupo. Utilizamos SSO. Dois de nossos usuários trocaram mensagens privadas, e um deles enviou um arquivo .eml (e-mail) por meio da mensagem privada. O arquivo .eml continha os endereços de e-mail de três patrocinadores. O Discourse detectou os endereços de e-mail, adicionou os patrocinadores como usuários em fase de preparação e — mesmo estando ainda nessa fase — enviou por e-mail aos patrocinadores as mensagens subsequentes da conversa privada. Obviamente, isso violou nossa privacidade.
Para ser justo, eu havia liberado os tipos de arquivo permitidos para upload como “*”, ou seja, permitir todos os uploads. Por padrão, eles não poderiam ter enviado um arquivo .eml. Mas e quanto a um documento do Word? O Discourse o escaneará em busca de endereços de e-mail e os adicionará como usuários?
Para reproduzir:
- Inicie uma mensagem privada
- Encontre um e-mail antigo do seu ex
- Envie o arquivo .eml na mensagem privada
- Seu ex agora é um usuário em fase de preparação
- Continue a conversa na mensagem privada
- Seu ex receberá e-mails
