Přeskočit na obsah

Bezpečnost v Omarchy

Nahlásit zranitelnost

Pokud si myslíš, že jsi v Omarchy našel bezpečnostní zranitelnost, nahlas ji prosím soukromě Omarchy Security Team prostřednictvím našeho programu HackerOne, abychom měli příležitost ji prošetřit a opravit dřív, než bude zveřejněna. Potvrzené zranitelnosti mají nárok na odměny vyplácené přes HackerOne.

hackerone.com/omarchy

Nenahlašujte prosím potenciální zranitelnosti veřejně v GitHub Issues, na Discordu ani na sociálních sítích, dokud nebudou vyřešené.

Co je to zranitelnost?

Chybu považujeme za bezpečnostní zranitelnost, když ji lze zneužít k překročení smysluplné bezpečnostní hranice: nedůvěryhodná nebo méně privilegovaná strana získá přístup, oprávnění nebo kontrolu, které dosud neměla.

Kód, který by mohl být robustnější, ale nepřekračuje bezpečnostní hranici, je vylepšení, nikoli bezpečnostní zranitelnost. Navrženou opravu přesto můžeme sloučit a nahlásitele uvést v poznámkách k vydání.

Nárok na naši stránku poděkování za bezpečnost závisí na tom, zda hlášení popisuje potvrzenou bezpečnostní zranitelnost, ne na její závažnosti.

Co uvést

Dejte nám dost informací, abychom problém pochopili a zreprodukovali:

  • Dotčená komponenta a verze Omarchy.
  • Vysvětlení toho, co útočník dokáže před zneužitím a po něm.
  • Kroky k reprodukci problému a případný proof of concept.
  • Vaše preferované kontaktní údaje pro další komunikaci.

Zodpovědné zveřejnění

Při zkoumání a nahlašování zranitelností prosím jednejte v dobré víře:

  • Testujte pouze systémy a účty, které vlastníte nebo na jejichž testování máte výslovné svolení.
  • Vyhněte se narušení soukromí, výpadkům, ničení dat a zhoršení služeb.
  • Nezneužívejte zranitelnost nad rámec toho, co je potřeba k její demonstraci.
  • Dejte nám přiměřenou příležitost problém prošetřit a vyřešit, než zveřejníte podrobnosti.

Vaše hlášení přezkoumáme a budeme vás informovat, jak budeme moci, zatímco budeme pracovat na vyřešení.

Poděkování

Výzkumníkům, kteří soukromě nahlásí potvrzenou bezpečnostní zranitelnost a dají nám šanci vydat opravu, děkujeme na stránce poděkování za bezpečnost. Přijatá vylepšení, která nepřekračují bezpečnostní hranici, mohou být přesto uvedena v našich poznámkách k vydání.

Poděkování odkazují na X profil každého nahlásitele a ukazují jeho avatar. U duplicitních hlášení má nárok na uznání jen první nahlásitel.

Běžné chyby a podpora

Na cokoli, co není bezpečnostní zranitelnost, použijte prosím sledování problémů Omarchy.

Hlášení e-mailem

Pokud si nechceš zakládat účet na HackerOne, můžeš nám hlášení poslat e-mailem na security@omarchy.org.