안녕하세요, 저희 Discourse 사이트에 대해 HackenProof에서 보상을 제안받았습니다. v3.10.beta3 +155로 업그레이드했지만, 보고받은 보상 내용과 관련된 사항을 릴리스 노트에서 찾아볼 수 없었습니다. 이는 새로운 문제인가요, 아니면 걱정할 필요가 없는 건가요?
영향
공격자가 소스 코드와 민감한 정보, 그리고 비공개 API를 탈취할 위험이 있습니다.
권장 사항
임시 해결책은 코드 디렉터리에서 .map 파일을 삭제하는 것입니다. 영구적인 해결책은 빌드 과정에서 map 파일 생성 기능을 비활성화하는 것입니다.
이 링크(https://docs.fluidattacks.com/criteria/vulnerabilities/236/)를 참고해 보시면 좋겠습니다.
답은 비공개 API가 존재하지 않는다는 것입니다. 이 API는 GitHub - discourse/discourse: A platform for community discussion. Free, open, simple. · GitHub 에 문서화되어 있으며, 해당 문서를 읽는 방법을 모른다면 언제든지 Discourse API 역설계를 수행할 수 있습니다.
의도가 불분명한 보안 관련 스팸은 정말 싫습니다.
그들이 모두 가짜라고 확신할 수는 없지만, 상당수가 컨설팅 프로젝트를 노리고 일부러 시비를 거는 것처럼 보입니다. (하지만 대형 회계법인들도 그렇게 하죠. 보통 그들이 파는 것은 미리 준비된 보고서인데, 이를 약간 수정해서 2만 달러를 청구합니다.)
피드백 감사합니다. 이것이 실제로 문제인지 확신이 서지 않았습니다.
누군가의 소스 코드가 유출되었다고 경고하는 것을 근거로 컨설팅 프로젝트를 구걸하는 상상을 해보세요 … 게다가 그 사이트는 존재하는 가장 유명한 오픈소스 프로젝트 중 하나로 만들어졌다는 것을 고려하면 더더욱 그렇습니다 
네, 하지만 이런 일들이 생길 때마다, 내가 공식적으로 은퇴한 상태인데도 이사회 의장에게서 이게 걱정할 일인지 물어보는 이메일이 들어와요.