質問: ユーザーがWebアプリケーションのユーザーアカウント内で電子メールアドレスを変更すると、次のような問題が発生します。 攻撃者(セッションにアクセスできるユーザー)が電子メールアドレスを新しいもの(攻撃者のもの) "パスワードを忘れた"というリセットを要求する。その時点から、彼はアカウントを所有しています。 私の驚いたことに、主要なサイト(eBayからGithubまで)でさえ、パスワードなどを要求せずにメールアドレスを変更できるようになりました。私の理解では、これはインターネットカフェ/大学/共有コンピュータを介したアカウント買収を非常に簡単にします。そして、私は、eBayとGithubの背後にいる人たち(例えば)は、彼らが何をしているのかを知っていると思う。 **これらのサイトでは、パスワードを尋ねずにメールの変更要求が許可されるのはなぜですか?**
回答: 実際に、電子メールアドレスを変更しようとすると、githubはパスワードを要求します。ただし、あなたがすでに[sudo mode](https://github.com/blog/1513-introducing-github-sudo-mode "sudo mode")にいるかどうか尋ねることはありません。