PostHog

Читает анонимную страницу входа self-hosted PostHog, GET /login. Страница встраивает window.POSTHOG_APP_CONTEXT = JSON.parse("{...}") — JSON-документ внутри строкового литерала JavaScript, — и его commit_sha записывается как версия. Схема по умолчанию — https.

targets:
  - id: posthog-main
    product: posthog
    address: https://posthog.example.com

Версия — это git-коммит

PostHog больше не выпускает нумерованные релизы: self-hosted (hobby) установка следует за веткой main, и единственный идентификатор, который она показывает, — коммит, из которого она собрана (подтверждено вживую, анонимно, на production self-hosted инстансе). Поэтому version здесь — хеш коммита вроде 55babe9554, а не номер релиза. /_preflight/ тоже анонимен, но содержит только состояние сервисов и realm; /api/instance_status требует входа.

Аутентификация

Отсутствует — страница входа публичная, и проба не принимает ни одного вида credential. Начиная с 2.2.0 credential, привязанный к таргету posthog, — это ошибка конфигурации, а не молча игнорируемая настройка; см. Конфигурация → Credentials.

Записываемые поля

• version — git-коммит, например 55babe9554
• extra.commit — тот же коммит
• extra.realm — например hosted-clickhouse, если страница его содержит

Сопоставление с CVE

Не сопоставляется — ни в одной из баз нет пригодных данных. См. Сопоставление с CVE. Границы версий в NVD для PostHog — хеши коммитов, их невозможно сравнить.

Резолвер жизненного цикла

Отсутствует — коммит не с чем сравнивать, релизов нет. Чтобы узнать, насколько коммит отстаёт от main, понадобился бы compare API GitHub — резолвер другого рода, чем любой из имеющихся в enodia; это не сделано. Пока только инвентаризация.