PostHog

Читає анонімну сторінку входу, GET /login, самостійно розгорнутого PostHog. Сторінка містить window.POSTHOG_APP_CONTEXT = JSON.parse("{...}") — документ JSON усередині рядкового літерала JavaScript, — і його commit_sha повідомляється як версія. Схема за замовчуванням — https.

targets:
  - id: posthog-main
    product: posthog
    address: https://posthog.example.com

Git-коміт — це версія

PostHog більше не випускає нумерованих релізів: самостійно розгорнута (hobby) інсталяція відстежує гілку main, і єдиний ідентифікатор, який вона показує, — коміт, з якого її зібрано (підтверджено наживо, анонімно, на самостійно розгорнутому продакшн-екземплярі). Тож version тут — хеш коміту на кшталт 55babe9554, а не номер релізу. /_preflight/ теж анонімний, але містить лише стан сервісів і realm; /api/instance_status потребує входу.

Автентифікація

Немає — сторінка входу публічна, і проба не приймає жодного виду облікових даних. Починаючи з 2.2.0, облікові дані, привʼязані до цілі posthog, є помилкою конфігурації, а не мовчки ігноруються — див. Конфігурація → Облікові дані.

Записувані поля

• version — git-коміт, напр. 55babe9554
• extra.commit — той самий коміт
• extra.realm — напр. hosted-clickhouse, якщо сторінка його містить

Зіставлення з CVE

Не зіставляється — жодна з баз не має придатних для цього даних. Див. Зіставлення з CVE. Межі версій PostHog у NVD — хеші комітів, які неможливо порівнювати.

Резолвер життєвого циклу

Немає — релізів, з якими можна порівняти коміт, не існує. Щоб визначити, наскільки коміт відстає від main, знадобився б compare API GitHub — інший тип резолвера, ніж будь-який наявний в enodia; не реалізовано. Поки що лише для інвентаризації.