디스코urs 팀이 보안 문제에 대한 투명성을 더 잘 확보할 수 있다고 생각합니다. 최근 사례는 다음과 같이만 언급되어 있습니다:
이 베타 버전에는 커뮤니티와 HackerOne 8이 보고한 문제를 해결하기 위한 보안 수정 사항 1건이 포함되어 있습니다.
- 처리된 HTML 처리에 Loofah를 우선 사용
그리고 HackerOne에서 해당 보고서를 찾을 수 없었습니다.
이상적으로는 릴리스에 HackerOne 보고서 링크와 해당 보안 문제의 심각도가 포함되어야 합니다.
Hey @core,
보안 수정에 대한 정보는 의도적으로 자세히 제공되지 않습니다. 각 사이트의 업그레이드 속도가 다르기 때문에, 보안 수정이 이루어졌다는 사실은 공유하되 악의적인 공격자가 이를 쉽게 악용할 수 있도록 세부 정보를 제공하지 않습니다. 보안 수정 사항은 커밋 메시지에 포함되어 있으므로, 원하시는 경우 GitHub 저장소에서 보안 관련 커밋을 확인하여 코드 변경 사항을 살펴볼 수 있습니다.
HackerOne 리포트를 공개하지 않습니다. 이전에 해커가 자신의 리포트 공개를 요청할 수 있도록 허용했으나, 여러 차례 악용 사례가 발생하여 해당 정책을 중단했습니다.