Hum… Je pense qu'il ne faut pas monter en épingle cet email. Voici mon interprétation.

Suite à log4shell, une grande société commerciale réalise un inventaire des logiciels qu'elle utilise (afin d'en déduire sa vulnérabilité). Probablement avec une méthode semi-automatisée (comme parser dpkg -l, quoi), donc ça fait remonter la bibliothèque curl. Puis, elle envoie un email à l'éditeur de chaque logiciel (et bibliothèque, du coup) inventorié. Il doit probablement s'agir d'une société habituée au modèle du grand logiciel privateur avec support, car, sur la forme, c'est le genre d'emails que n'importe quelle société envoie à l'assistance SAP, Microsoft, Cisco, etc.

Cela se lit : email standardisé (rien que la première phrase, qui mentionne « Haax team partner »… ‒ nom informel après une courte recherche sur le site web du projet + la société n'est pas un partenaire selon l'auteur ‒) formulé du point d'un vue d'un utilisateur plutôt que d'un développeur (comme si une bibliothèque était un logiciel pour utilisateur final, quoi) et comme si l'auteur d'une bibliothèque pouvait savoir ce que l'éditeur d'un logiciel et la société qui s'en est équipée en ont fait (voir les questions 3 et 4, par exemple).

Il me semble que cette société commerciale est plus dans l'incompétence à établir une liste des logiciels qu'elle utilise (et ne pige pas la mentalité du logiciel libre) que dans un foutage de gueule "j'exige du bénévole d'un petit projet avec lequel j'ai aucun contrat d'assistance de me répondre vite et bien".