Problème de sécurité/confidentialité : Email exposé dans l'URL de redirection du fournisseur DiscourseConnect

[Falco]

@JACK_ZHANG

Cet e-mail est ensuite encodé en Base64 et inclus dans l’URL de redirection :
https://target-site.com/callback?sso=\u003cbase64_payload\u003e\u0026sig=\u003chmac_signature\u003e

Le décodage de la charge utile base64 révèle l’adresse e-mail en texte clair.

@JACK_ZHANG

Ou implémenter un rappel basé sur POST au lieu d’une redirection 302 GET pour éviter la journalisation de l’URL

N’est-ce pas également chiffré avec le secret partagé ?