phpBB Italia

Salve, ho un problema di sicurezza sul mio forum phpBB 3.09
Ho un'area riservata allo staffdove hanno accesso solo i gruppi admin e moderatori.
I messaggi di questa sezione non vengono indicizzati per la ricerca.
Un qualsiasiutente che non fa parte dello staff ha la possibilità di vedere alcuni post di quest'area riservata.
Per fare ciò deve clikkare sul nick di un admin o moderatore, entrare nella schermata che mostra il suo profilo e clikkare su "Cerca messaggi dell'utente".
Si apre una lista degli ultimi msg dell'autore e tra questi anche quelli in area riservata.
Cklikkando su vai al msg si apre una finestra in cui viene riferito che non si hanno i permessi necessari.
Ho fatto una ricerca ma non ho trovato la soluzione al mio problema

Su quali basi affermi che quest'utente accede ad area riservata? Attraverso il prova permessi?
O appunto, come sei venuto a conoscenza di questo?

Ho visto un utente tra quelli presenti nella sezione riservata e gli ho chiesto come ha fatto.
Controllando i permessi avevo visto che gli utenti registrati potevano accedere al forum principale ma non alle sottosezioni dove c'erano le aree riservate.
Adesso ho rimosso quei permessi ma utilizzando la funzione " prova permessi utente" ho visto quanto descritto sopra al primo post.
Per ovviare al problema ho momentaneamente disabilitato il permesso alla visione della lista utenti e profilo utenti.
Ho anche notato un altro problema : se un admin mette un post in qualunque sezione, il suo nick compare sempre come ultimo utente che ha postato nela prima sottosezione del primo forum, entrando dentro non si vede il suo nick come ultimo utente che ha postato.

La funzione prova permessi, non è attendibile.
Posto che l'utente sospettato di accedere ad aree riservate, sia iscritto solo e soltanto al gruppo "Utenti registrati" e quindi, predefinito ad esso, devi creare un account equipollente, (iscritto solo al gruppo "Utenti registrati") e vedere concretamente con quell'account di prova cosa accade.
Ovviamente, si presume che i permessi dell'utente non siano stati modificati (ad es. attraverso permessi forum utente).

Non è altresì attendibile la funzione Chi c'è il linea, anche se potenziata da MOD.

In breve, tutto ciò che è diverso da una prova reale e concreta, non è attendibile.

Ho provato di persona reiscrivendomi adesso con un altro nick come utente normale e riesco a leggere i msg riservati come ho descritto nel primo post

In tal caso, posto che l'account di prova sia iscritto solo al gruppo "Utenti registrati" e predefinito ad esso, attraverso permessi forum gruppi, devi dare accesso negato, a tutti i forum riservati. In teoria, potresti farlo per tutti i forum riservati selezionandoli. Altrimenti.. carta e penna, e fallo forum per forum.
Permessi forum gruppi, in riferimento al gruppo "Utenti registrati".

Gli ospiti, vedono questi forum? E i Bot? Eventualmente, ripeti la medesima cosa per gli altri due gruppi citati.

Ho controllato ieri e tutti forum riservati sono solo accessibili ai gruppi admin e moderatori o solo admin
I forum riservati sono esclusi dalla indicizzazione della ricerca.

Inserisci un link al tuo forum nel profilo.

Fatto

Dal momento che sembri una persona educata, non blocco l'argomento.
Ma a me risulta che la tua versione, sia la 3.0.9.

Se è così: indicalo nel profilo, e soprattutto, aggiorna la lingua italiana esponendo i crediti di phpbb italia. Altrimenti non ti potremo dare supporto.