DB に存在しない電子メール アドレスを指定しても、パスワードを忘れた場合にエラーがポップアップ表示されない

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• 「パスワード再発行」オプションでは、データベースに存在しない電子メール ID を提供しようとしているときに、ユーザーはセキュリティの質問に答えることができます。 ユーザーのメールアドレスが存在しないというエラーは表示されません。 また、この場合、秘密の質問は DB に存在しません。

環境

• Liferay DXP 7.3

解決

• これは意図された動作です。特定のメール アドレスが登録されているかどうかを明らかにすることは、実際にはセキュリティ上の脆弱性であるという考えは、セキュリティ コミュニティ内でかなり広く受け入れられています。これは、メール アドレスが有効か無効かを確認すると、特定のユーザー名が有効かどうかなどの情報が悪意のある攻撃者に提供される可能性があるためです。これは、上で説明したユーザー列挙攻撃などの攻撃を防ぐためです。

追加情報

• 非公式リンク: Forgot Password Cheat Sheet