低危漏洞拖着不修，curl干脆说：那公开吧

curl的邮件列表上冒出一条提案：所有低于HIGH级别的漏洞，一律立即公开，不再走私下通报流程。我读完原文，第一反应是太硬了，但越琢磨越觉得它戳中了要害——低危漏洞拖三个月不修，它还是低危吗？公开不是惩罚，是逼出修复的节奏。安全社区里总有人觉得"先通知厂商再公开"是政治正确，可现实是，大多数低危漏洞的报告躺在厂商邮箱里就再没下文了。透明度本身就是安全机制的一部分。我站这条提案这边。

原文：Proposal: Every vulnerability report < HIGH is immediately public · 来源：Hacker News