关于安全问题严重性的更大透明度

支持
1

我认为 Discourse 团队在安全问题的透明度方面可以做得更好。最近一次更新 仅提到：

此测试版包含一项针对社区和 HackerOne 8 报告的安全问题的修复。

  • 优先使用 Loofah 处理已渲染的 HTML

但我未能在 HackerOne 上找到相关报告。

理想情况下，发布说明应包含指向 HackerOne 报告的链接，并说明该安全问题的严重程度。

2

嘿 @core，

安全修复的信息故意不详细。各网站的升级速度不同，我们虽然希望告知存在安全修复，但不愿提供细节，以免恶意行为者轻易利用。安全修复的具体内容体现在提交信息中，因此如果您愿意，可以随时查看我们的 GitHub 仓库 以了解相关安全提交及代码变更。

我们不会公开 HackerOne 报告。虽然过去我们曾允许黑客申请披露其报告，但由于多次因此遭受滥用，我们已停止该做法。