Cuando los usuarios cambian sus direcciones de correo electrónico dentro de la cuenta de usuario de una aplicación web, veo el siguiente problema:
Un atacante (que tenga acceso a su sesión) podría cambiar su dirección de correo electrónico a una nueva (la del atacante), cerrar sesión y solicitar un restablecimiento de "olvidé mi contraseña". Desde ese punto, él es el propietario de la cuenta.
Para mi sorpresa, incluso los sitios más importantes (desde eBay hasta Github) permiten cambiar la dirección de correo electrónico sin pedir contraseñas, etc. En mi opinión, esto hace que la toma de cuentas a través de Internet café / universidad / computadoras compartidas sea extremadamente fácil. Y creo que los chicos detrás de eBay y Github (por ejemplo) saben lo que hacen.
¿Por qué esos sitios permiten solicitudes de cambio de correo electrónico sin solicitar una contraseña?