プロジェクト

全般

プロフィール

Backport(バックポート) #4017

Bug(バグ) #4012: メールアドレス設定から意図的に他のメンバーと同じメールアドレスを設定できる

メールアドレス設定から意図的に他のメンバーと同じメールアドレスを設定できる

Youichi Kimura7年以上前に追加. 5年以上前に更新.

ステータス:
Fixed(完了)
優先度:
Normal(通常)
担当者:
対象バージョン:
開始日:
2016-09-23
期日:
進捗率:

100%


説明

Overview (概要)

再現手順:

  1. メンバーA でログインし、PCメールアドレス設定 (/member/config?category=pcAddress) を開く
  2. PCメールアドレスに hoge@example.com を入力して「送信」ボタンをクリック
    • hoge@example.com 宛に確認メールが届くが、この時点ではメールに記載されている URL を開かない
  3. メンバーB でログインし、PCメールアドレス設定 (/member/config?category=pcAddress) を開く
  4. PCメールアドレスに hoge@example.com を入力して「送信」ボタンをクリック
  5. メンバーA によって送られた「メールアドレス変更ページのお知らせ」のメールに記載されている URL を開く
  6. メンバーA のパスワードを入力して「送信」ボタンをクリック
  7. メンバーB によって送られた「メールアドレス変更ページのお知らせ」のメールに記載されている URL を開く
  8. メンバーB のパスワードを入力して「送信」ボタンをクリック
  9. メンバーA, メンバーB のPCメールアドレスが同じ hoge@example.com に設定された状態になる

Causes (原因)

lib/config/config/member_config.yml では pc_address および mobile_address に対して IsUnique: true が指定されており、実際に「PCメールアドレス設定」のフォームでは MemberConfigForm::isUnique() によって重複チェックが行われている。
しかし、メールアドレス変更については、変更後のメールアドレス宛に /member/configComplete?token=*** のURLをメールで送った上で、確認が完了するまでは pc_address を変更しないという例外的な対応を取っている。そのため、MemberConfigForm のバリデーション時には重複しなかったが /member/configComplete の時点で重複するような場合には対処できていなかった。

Way to fix (修正内容)

opMemberActions::executeConfigComplete() において、pc_address_pre または mobile_address_pre を pc_address または mobile_address に変更する直前にも重複チェックを行う。これにより、上記の再現手順でいう手順 8 の段階でエラーが発生するようになる。

なお、手順 4 の段階で pc_address_pre が重複するためこの時点でエラーを発生させるといった修正も考えられるが、これをエラーとしてしまうと悪意のあるメンバーが任意のメールアドレスを確認が未完了のまま放置することによって他のメンバーがそのメールアドレスを使用できない状態に出来てしまうため、pc_address_pre に対する重複チェックは行わない。


関連するチケット

関連している OpenPNE 3 - Backport(バックポート) #4015: メールアドレス変更処理が完了しても、仮登録用のデータ (***_pre, ***_token) が MemberConfig に残ってしまい、削除されない Fixed(完了) 2012-06-14

関係しているリビジョン

リビジョン d3e1f283 (差分)
Youichi Kimura7年以上前に追加

check uniqueness of member_config value while member/configComplete action (fixes #4017, BP from #4012)

(cherry picked from commit 4769d307b49895abfdbe749b734d105819bdf9d4)

リビジョン 1640103f (差分)
Youichi Kimura7年以上前に追加

show new value of config in member/configComplete template (refs #4017, BP from #4012)

(cherry picked from commit 8024b2acab3ea1e0b6b7c14bb5a4bb171c177053)

リビジョン cbbcff90 (差分)
isao sano約6年前に追加

check uniqueness of member_config value while member/configComplete action (fixes #4017, BP from #4012)

リビジョン 3c97b970 (差分)
isao sano約6年前に追加

show new value of config in member/configComplete template (refs #4017, BP from #4012)

リビジョン aca17aae (差分)
isao sano約6年前に追加

Fix to narrow down the condition of member_id first (refs #4017, BP from #4012)

リビジョン f037ba70 (差分)
isao sano約6年前に追加

Fix method name to appropriate one (refs #4017, BP from #4012)

リビジョン c01a4072 (差分)
isao sano5年以上前に追加

Correct method name (refs #4017, BP from #4012)

リビジョン 2b7ab886
kaoru n5年以上前に追加

Merge pull request #374 from upsilon/t-4015-4017

メールアドレス変更に関する複数の修正 (fixes #4015, #4017; BP from #3077, #4012)

履歴

#1 Youichi Kimura7年以上前に更新

  • 関連している Bug(バグ) #4012: メールアドレス設定から意図的に他のメンバーと同じメールアドレスを設定できる を追加

#2 Youichi Kimura7年以上前に更新

  • ステータスNew(新規) から Pending Review(レビュー待ち) に変更
  • 進捗率0 から 50 に変更

下記の Pull Request にて修正しました (#4015, #4017 の修正を含んでいます)
https://github.com/openpne/OpenPNE3/pull/374

#4 Shinichi Urabe7年以上前に更新

  • ステータスPending Review(レビュー待ち) から Rejected(差し戻し) に変更

バグチケットと同様の理由で差し戻し

#5 isao sano約7年前に更新

  • 関連している Backport(バックポート) #4015: メールアドレス変更処理が完了しても、仮登録用のデータ (***_pre, ***_token) が MemberConfig に残ってしまい、削除されない を追加

#6 kaoru n6年以上前に更新

  • 親チケット#4012 にセット

#7 isao sano約6年前に更新

  • ステータスRejected(差し戻し) から Accepted(着手) に変更
  • 進捗率50 から 0 に変更

#8 isao sano約6年前に更新

  • ステータスAccepted(着手) から Pending Review(レビュー待ち) に変更
  • 進捗率0 から 50 に変更

https://github.com/openpne/OpenPNE3/pull/505 にてプルリクエストしました。

#9 Rimpei Ogawa5年以上前に更新

  • ステータスPending Review(レビュー待ち) から Rejected(差し戻し) に変更

親チケットでの指摘がこちらでは修正されていません
https://redmine.openpne.jp/issues/4012#note-13

#10 kaoru n5年以上前に更新

  • ステータスRejected(差し戻し) から Pending Review(レビュー待ち) に変更

#11 Rimpei Ogawa5年以上前に更新

  • ステータスPending Review(レビュー待ち) から Pending Testing(テスト待ち) に変更
  • 進捗率50 から 70 に変更

レビューOKです。

#12 kaoru n5年以上前に更新

  • 対象バージョンOpenPNE 3.6.x から OpenPNE 3.6.33 に変更

#13 Chiharu Nakajima5年以上前に更新

  • ステータスPending Testing(テスト待ち) から Pending Merge(マージ待ち) に変更
  • 進捗率70 から 80 に変更

動作確認OKです

#14 kaoru n5年以上前に更新

  • ステータスPending Merge(マージ待ち) から Fixed(完了) に変更
  • 進捗率80 から 100 に変更

マージしました

他の形式にエクスポート: Atom PDF