Bezpečnosť - Omarchy

Nahlásiť zraniteľnosť

Ak si myslíš, že si našiel bezpečnostnú zraniteľnosť v Omarchy, nahlás ju prosím súkromne Omarchy Security Team cez náš program HackerOne, aby sme mali možnosť ju preskúmať a opraviť skôr, ako sa zverejní. Potvrdené zraniteľnosti majú nárok na odmeny vyplácané cez HackerOne.

hackerone.com/omarchy

Potenciálne zraniteľnosti prosím nenahlasujte verejne v GitHub Issues, na Discorde ani na sociálnych sieťach, kým nebudú vyriešené.

Čo je zraniteľnosť?

Chybu považujeme za bezpečnostnú zraniteľnosť, keď sa dá zneužiť na prekročenie zmysluplnej bezpečnostnej hranice: nedôveryhodná strana alebo strana s nižšími oprávneniami získa prístup, povolenia alebo kontrolu, ktoré predtým nemala.

Kód, ktorý by mohol byť robustnejší, ale neprekračuje bezpečnostnú hranicu, je vylepšením, nie bezpečnostnou zraniteľnosťou. Navrhovanú opravu môžeme aj tak zlúčiť a autora nahlásenia uvedieme v poznámkach k vydaniu.

Nárok na našu stránku bezpečnostných uznaní závisí od toho, či nahlásenie identifikuje potvrdenú bezpečnostnú zraniteľnosť, nie od jej závažnosti.

Čo uviesť

Poskytnite nám dostatok informácií na pochopenie a reprodukciu problému:

Postihnutý komponent a verzia Omarchy.
Vysvetlenie toho, čo útočník dokáže pred zneužitím a po ňom.
Kroky na reprodukciu problému a prípadný proof of concept.
Vaše preferované kontaktné údaje pre následnú komunikáciu.

Zodpovedné zverejňovanie

Pri skúmaní a nahlasovaní zraniteľností konajte prosím v dobrej viere:

Testujte len systémy a účty, ktoré vlastníte alebo na ktorých testovanie máte výslovné povolenie.
Vyhnite sa porušovaniu súkromia, narušeniam, ničeniu dát a zhoršovaniu služieb.
Nezneužívajte zraniteľnosť nad rámec toho, čo je potrebné na jej predvedenie.
Dajte nám primeranú príležitosť problém preskúmať a vyriešiť pred zverejnením detailov.

Vaše nahlásenie preskúmame a budeme vás informovať, ako budeme môcť, kým budeme pracovať na vyriešení.

Uznania

Výskumníkom, ktorí súkromne nahlásia potvrdenú bezpečnostnú zraniteľnosť a dajú nám šancu vydať opravu, ďakujeme na stránke bezpečnostných uznaní. Akceptované vylepšenia, ktoré neprekračujú bezpečnostnú hranicu, môžu byť aj tak uvedené v našich poznámkach k vydaniu.

Uznania odkazujú na X profil každého autora nahlásenia a zobrazujú jeho avatar. Pri duplicitných nahláseniach má na uznanie nárok len prvý autor.

Bežné chyby a podpora

Na čokoľvek, čo nie je bezpečnostná zraniteľnosť, použite prosím sledovanie problémov Omarchy.

Nahlásenie e-mailom

Ak si nechceš vytvárať účet na HackerOne, môžeš svoj report poslať aj e-mailom na security@omarchy.org.