Dependensi dan CVE untuk Intercom
high4 titik pemeriksaan
Sebagian besar insiden dimulai dari komponen yang sebenarnya sudah bisa dipatch. Mengetahui versi tepat adalah selisih antara perbaikan dan tebakan.
Yang harus ada di Intercom
- Tidak ada kebocoran versi lewat header, meta tag, atau halaman error
- Framework dan plugin pada rilis yang masih didukung
- CVE yang diketahui untuk versi terdeteksi sudah ditinjau
- Lockfile di-commit dan audit dependensi berjalan di CI
Cara memperbaiki
- 1Otomatiskan pembaruan dependensi dan tinjau advisory setiap minggu
- 2Pin versi di produksi dan uji upgrade di staging lebih dulu
Konteks Intercom
Customer messaging widget embedded on the site.
User identity hashes should be signed; otherwise anyone can impersonate a user in chat.