Les utilisateurs peuvent modifier le titre du sujet signalé alors qu'ils ne devraient pas pouvoir le faire

1. Le sujet est signalé

Un sujet est signalé comme « autre chose », que nous avons renommé « ce sujet contient quelque chose qu’il ne devrait pas ».

2. Le modérateur masque le message

3. Le message est masqué

Le message est masqué et ne peut pas être modifié — le délai d’attente a été défini sur 525600 minutes


Ce qui est bien, sauf s’ils modifient le titre :

confidentiality_bug

Ce n’est pas un bug. C’était conçu comme ça.

Si vous lisez la description de masquer le post, vous verrez qu’un message est envoyé à l’utilisateur pour modifier le post.
Le modérateur doit soit Accepter > Conserver le post, soit Supprimer le post.

Je peux reproduire cela.

Modifier le titre d’un OP caché contourne la période de refroidissement de 10 minutes pour les modifications.

  • Un utilisateur test TL0 crée un sujet inapproprié
  • L’OP est signalé, puis masqué par un modérateur
  • L’utilisateur test TL0 peut immédiatement modifier le titre et réafficher le message (et ensuite modifier le contenu du message également)
2 « J'aime »

Hmm, ma description aurait pu être meilleure. Oui, elle est conçue de telle sorte qu’ils puissent modifier le message, mais la possibilité de modifier est bloquée par un délai de répétition.

Dans 3, nous pouvons voir que cela fonctionne, le message est verrouillé et ne peut pas être modifié car le délai n’a pas expiré. Cependant, l’utilisateur peut contourner le délai s’il modifie le titre. C’est ça le bug.

Je devrais mentionner que c’est avec un utilisateur TL1.

vous voulez bloquer le message pendant un an avant qu’ils ne puissent le modifier ? ça n’a aucun sens.

supprimez simplement le message

C’est une solution de contournement. Nous voulons que l’utilisateur voie le sujet afin qu’il puisse en récupérer le bon contenu et en créer un nouveau. Une fois qu’il aura terminé, nous pourrons supprimer le sujet.

Le problème est que si nous le laissons modifier le sujet :

  1. Il sera republié
  2. Les informations confidentielles seront visibles dans l’historique des versions

Il semble que cette ligne remplace la vérification cachée et le délai d’attente

https://github.com/discourse/discourse/blob/c4843fc1c18fb077d61e59615f54c4735bb42/lib/guardian/post_guardian.rb#L167

1 « J'aime »

Nous avons une reproduction, peut-on assigner cela à @sam ?

3 « J'aime »