Восстановление пароля - для любого пользователя

Re: Восстановление пароля - для любого пользователя

от Vadim Tabunshchik -
Количество ответов: 4
Изображение пользователя Developers 
То есть ЛЮБОЙ человек может сбросить ЛЮБОЙ пароль, лишь бы знать логин

Нет, не любой. Система проверила логин, он принадлежит пользователю с правами администратора. Это раз. Второе - на сайте включена отладка SMTP (debugsmtp), поэтому «на странице побежали строки ,как от выполнения скрипта». Простому пользователю ничего не будет видно. Но debugsmtp следует выключить, это нужно только для одноразовой проверки работоспособности отправки почты.

И вообще это странно, у меня никакие строки нигде не бегут при восстановлении пароля админа со всеми включенными отладками улыбаюсь Может у вас «чужой» завелся?

Правда Мудл версии 3.4, может в 3.2 что-то и неверно работает. На баг-трекере не искали?

Сумма оценок: -
В ответ на Vadim Tabunshchik

Re: Восстановление пароля - для любого пользователя

от Игорь М -

Система проверила логин, он принадлежит пользователю с правами администратора

Так в том то и дело - получается, достаточно знать логин администратора, чтобы узнать пароль?

На баг-трекере не искали?

Да какое там... Перед аккредитацией все и всё в мыле...

 

Сумма оценок: -
В ответ на Игорь М

Re: Восстановление пароля - для любого пользователя

от Vadim Tabunshchik -
Изображение пользователя Developers

Ну да, странно всё это, не должно такого быть.

В мыле, не в мыле, а нужно проверить все файлы Мудл на предмет чужеродного кода. улыбаюсь

Сумма оценок: -
В ответ на Игорь М

Re: Восстановление пароля - для любого пользователя

от Vadim Dvorovenko -
Изображение пользователя Developers Изображение пользователя Майнтейнер перевода

Так в том то и дело - получается, достаточно знать логин администратора, чтобы узнать пароль?

Конечно, если у вас включена отладка отправки почты, чего нельзя делать на production-сервере. Это настройка находится в разделе разработка - отладка, значит её включение дозволено только в целях разработки на локальных и тестовых системах. Здесь никакого бага - это стандартное поведение. Это то же самое, как поставить на сервере phpmyadmin и использовать root в mysql с пустым паролем (так будет, если использовать Openserver в production).

Сломалась почта на сервере - перевели его в режим техобслуживания, зашли администратором и отлаживайте отправку. Настроили отправку - отключаете отладку и только после этого выходите из режима технического обслуживания.

Сумма оценок: -