Сигурност

Съобщете за уязвимост

Ако смятате, че сте открили уязвимост в сигурността на Omarchy, моля, докладвайте я поверително на Екипа по сигурност на Omarchy чрез нашата програма в HackerOne, за да имаме възможност да я проучим и поправим, преди да стане публична. Потвърдените уязвимости отговарят на условията за награди, изплащани чрез HackerOne.

hackerone.com/omarchy

Моля, не съобщавайте потенциални уязвимости публично в GitHub Issues, Discord или социалните мрежи, преди да са разрешени.

Какво е уязвимост?

Считаме бъг за уязвимост в сигурността, когато може да бъде експлоатиран за пресичане на значима граница на сигурност: ненадеждна или по-нископоставена страна получава достъп, права или контрол, които вече не е имала.

Код, който би могъл да е по-здрав, но не пресича граница на сигурност, е подобрение, а не уязвимост в сигурността. Все пак можем да слеем предложена поправка и да отличим съобщилия в бележките към изданието.

Правото на място на страницата ни с отличия за сигурност зависи от това дали съобщението посочва потвърдена уязвимост в сигурността, а не от тежестта ѝ.

Какво да включите

Дайте ни достатъчно информация, за да разберем и възпроизведем проблема:

Засегнатият компонент и версията на Omarchy.
Обяснение какво може да направи нападател преди и след експлоатиране.
Стъпки за възпроизвеждане на проблема и евентуален proof of concept.
Предпочитаните ви данни за контакт за последваща връзка.

Отговорно разкриване

Моля, действайте добросъвестно, докато разследвате и съобщавате уязвимости:

Тествайте само системи и акаунти, които притежавате или за които имате изрично разрешение да тествате.
Избягвайте нарушения на поверителността, смущения, унищожаване на данни и влошаване на услуги.
Не експлоатирайте уязвимост отвъд нужното за демонстрирането ѝ.
Дайте ни разумна възможност да разследваме и адресираме проблема, преди да публикувате детайли.

Ще прегледаме съобщението ви и ще ви държим информирани, доколкото можем, докато работим към разрешение.

Отличия

Изследователите, които поверително съобщават потвърдена уязвимост в сигурността и ни дават шанс да доставим поправка, са отличени на страницата с отличия за сигурност. Приетите подобрения, които не пресичат граница на сигурност, все пак могат да бъдат отличени в бележките ни към изданията.

Отличията сочат към X профила на всеки съобщил и показват аватара му. При дублирани съобщения само първият съобщил има право на отличие.

Обикновени бъгове и поддръжка

За всичко, което не е уязвимост в сигурността, моля ползвайте системата за проблеми на Omarchy.

Докладване по имейл

Ако предпочитате да не създавате акаунт в HackerOne, можете също да изпратите доклада си по имейл на security@omarchy.org.