I source map sono file di sviluppo che collegano il JavaScript minificato o raggruppato al codice sorgente originale. Consentono agli sviluppatori di eseguire il debug delle build di produzione mostrando nomi di variabili leggibili, percorsi dei file e numeri di riga invece del codice compresso.
Nella sicurezza informatica, i source map esposti pubblicamente possono rivelare logiche interne che gli attaccanti preferirebbero mantenere nascoste. Possono mostrare endpoint API, flussi di autenticazione, feature flag, gestione degli errori o altri dettagli di implementazione che aiutano un intruso a capire come funziona un'applicazione web. Nelle campagne di phishing o malware, i source map esposti possono anche rivelare il comportamento degli script, riferimenti a command-and-control o controlli del browser che altrimenti sarebbero oscurati nel codice minificato. I difensori cercano questi file durante le analisi web perché rimuoverli o limitarne l'accesso riduce la divulgazione accidentale di informazioni e rende più difficile la ricognizione. Anche quando i source map non sono direttamente sfruttabili, possono dare agli attaccanti un utile vantaggio iniziale.