Benutzer können den markierten Titel eines Themas bearbeiten, obwohl sie es nicht sollten

1. Thema wird gemeldet

Ein Thema wird als „etwas anderes“ gemeldet, was wir hier in „dieses Thema enthält etwas, das es nicht sollte“ umbenannt haben.

2. Moderator verbirgt den Beitrag

3. Beitrag ist verborgen

Der Beitrag ist verborgen und kann nicht bearbeitet werden – das Zeitlimit wurde auf 525600 Minuten gesetzt


Was in Ordnung ist, es sei denn, sie bearbeiten den Titel:

confidentiality_bug

Das ist kein Fehler. Es wurde so konzipiert.

Wenn Sie die Beschreibung von „Beitrag ausblenden“ lesen, sehen Sie, dass eine Nachricht an den Benutzer gesendet wird, um den Beitrag zu bearbeiten.
Der Moderator sollte entweder zustimmen > Beitrag behalten oder Beitrag löschen

Ich kann das reproduzieren.

Das Bearbeiten des Titels eines ausgeblendeten OP umgeht die 10-minütige Bearbeitungs-Sperrfrist.

  • TL0-Testbenutzer erstellt ein unangemessenes Thema
  • Der OP wird markiert und dann vom Moderator ausgeblendet
  • TL0-Testbenutzer kann sofort den Titel bearbeiten und den Beitrag wieder einblenden (und dann auch den Inhalt des Beitrags bearbeiten)
2 „Gefällt mir“

Hmm, meine Beschreibung hätte besser sein können. Ja, es ist so konzipiert, dass sie den Beitrag bearbeiten können, aber die Möglichkeit zur Bearbeitung ist hinter einem Cooldown-Timer gesperrt.

In 3 sehen wir, dass dies funktioniert, der Beitrag ist gesperrt und kann nicht bearbeitet werden, da der Timer noch nicht abgelaufen ist. Der Benutzer kann den Timer jedoch umgehen, wenn er den Titel bearbeitet. Das ist der Bug.

Ich sollte erwähnen, dass dies mit einem TL1-Benutzer geschieht.

Sie möchten den Beitrag für ein Jahr sperren, bevor sie ihn bearbeiten können? Ergibt keinen Sinn.

Löschen Sie einfach den Beitrag.

Es ist eine Übergangslösung. Wir möchten, dass der Benutzer das Thema sieht, damit er die guten Inhalte daraus abrufen und ein neues erstellen kann. Nachdem er damit fertig ist, können wir das Thema löschen.

Das Problem ist, dass, wenn wir sie das Thema bearbeiten lassen:

  1. Es wird erneut gepostet
  2. Die vertraulichen Informationen werden in der Versionshistorie sichtbar sein

Scheint, als würde diese Zeile die Prüfung auf versteckt und Abklingzeit überschreiben

https://github.com/discourse/discourse/blob/c4843fc1c18fb077d61e59615f54c4735bb42/lib/guardian/post_guardian.rb#L167

1 „Gefällt mir“

Wir haben eine Reproduktion, kann das @sam zugewiesen werden?

3 „Gefällt mir“