보안/프라이버시 문제: DiscourseConnect 제공자 리다이렉트 URL에 이메일 노출

[Falco]

@JACK_ZHANG

이 이메일은 Base64로 인코딩되어 리다이렉트 URL에 포함됩니다:
https://target-site.com/callback?sso=<base64_payload>&sig=<hmac_signature>

Base64 페이로드를 디코딩하면 이메일 주소가 평문으로 드러납니다.

@JACK_ZHANG

또는 URL 로깅을 피하기 위해 GET 302 리다이렉트 대신 POST 기반 콜백을 구현하십시오.

그것도 공유 시크릿으로 암호화되지 않나요?