корзина

[rxu]

LavIgor, правка меняет действие с dissaprove на delete, поэтому при отсутствии прав модератор не сможет удалить пост.

[LavIgor]

при отсутствии прав модератор не сможет удалить пост.

Сможет. Функция disapprove это всё равно позволяет.

А действия с UI на безопасность не влияют.
Нужно серверную часть менять, причём капитально.

[rxu]

Функция disapprove это всё равно позволяет.

disapprove заменена на delete, я уже писал это. Только во вьютопике, но не в модераторском разделе. можно добавить.

[LavIgor]

disapprove заменена на delete

действия с UI на безопасность не влияют

Имея доступ к функции disapprove_posts, подменить post_id (да и откатить PR #3615) не так уж и сложно.
А проблема есть, ведь я не думаю, что все премодераторы должны иметь доступ к удалению сообщений.
Не стал ставить статус Security Issue только потому, что модераторы вряд ли станут вести себя так нехорошо.

[valdos]

В 3.1.6 внесены ли изменения из поста корзина ?
Может быть отработан баг, который создал LavIgor?

Если нет, то после обновления на 3.1.6 правки из поста корзина актуальны?

[LavIgor]

valdos, я багов не создавал, а лишь сообщил о проблемах.
Никаких телодвижений по их устранению со стороны разработчиков пока не было.

[southklad]

Заметил такую вещь, если например есть 2,3 или так далее страниц с ответами и вот на второй странице есть только один ответ и его удалить в корзину, то для тех кто не видит удаленного сообщения, обычных пользователей открывается пустая страница вообще без сообщений.

[LavIgor]

Ссылку можно на эту самую страницу?

[southklad]

Странно сейчас такого глюка нет, но на 3.1.5 был точно, потому что я как то зашел на форум как гость и вместо очердной страницы увидел пустую и потом только узнал что там было удаленное сообщение.

[valdos]

Правильно понимаю, что в 3.1.7 PL все предложенные действия из корзина уже внедрили?

[LavIgor]

valdos, да, правильно понимаете.

[KimIV]

да, правильно понимаете

Извините, я всё-таки уточню то, что вАжно для меня...
В версии 3.1.7-PL1 автор удалённого сообщения может его видеть и может также видеть причину удаления его сообщения?

[LavIgor]

KimIV, а в предыдущих версиях автор разве мог видеть своё сообщение удалённым, не имея прав доступа к корзине?
Причину удаления он увидит, если Вы не снимете галочку об уведомлении автора при удалении его сообщения.

[KimIV]

Причину удаления он увидит, если Вы не снимете галочку об уведомлении автора при удалении его сообщения.

У меня нет этой галочки. Как её активировать?

Screenshot_2016-01-14-18-18-32.png

Версия 3.1.6

[LavIgor]

KimIV, я спутал с отклонением сообщения.
При удалении уведомления не высылаются.