Безпека - Omarchy

Повідомити про вразливість

Якщо ви вважаєте, що знайшли вразливість безпеки в Omarchy, повідомте про неї приватно Команді безпеки Omarchy через нашу програму HackerOne, щоб ми мали змогу дослідити й виправити її до публічного розголошення. За підтверджені вразливості передбачені винагороди, які виплачуються через HackerOne.

hackerone.com/omarchy

Не повідомляйте про потенційні вразливості публічно в GitHub Issues, Discord чи соцмережах, доки їх не вирішено.

Що таке вразливість?

Ми вважаємо помилку вразливістю безпеки, коли її можна експлуатувати для перетину значущої межі безпеки: недовірена або менш привілейована сторона отримує доступ, дозволи чи контроль, яких у неї ще не було.

Код, який міг би бути надійнішим, але не перетинає межу безпеки, — це покращення, а не вразливість безпеки. Ми все одно можемо злити запропоноване виправлення й подякувати доповідачеві в примітках до релізу.

Право на місце на нашій сторінці подяк за безпеку залежить від того, чи виявляє повідомлення підтверджену вразливість безпеки, а не від її серйозності.

Що включити

Надайте нам достатньо інформації, щоб зрозуміти й відтворити проблему:

Уражений компонент і версія Omarchy.
Пояснення того, що зловмисник може зробити до та після експлуатації.
Кроки для відтворення проблеми й будь-який доказ концепції.
Бажані контактні дані для зворотного звʼязку.

Відповідальне розкриття

Дійте добросовісно, досліджуючи й повідомляючи про вразливості:

Тестуйте лише системи й облікові записи, якими володієте або на тестування яких маєте явний дозвіл.
Уникайте порушень приватності, збоїв, знищення даних і погіршення сервісу.
Не експлуатуйте вразливість понад те, що потрібно для її демонстрації.
Дайте нам розумну можливість розслідувати й вирішити проблему, перш ніж публікувати деталі.

Ми розглянемо ваше повідомлення й інформуватимемо вас у міру можливостей, працюючи над вирішенням.

Подяки

Дослідникам, які приватно повідомляють про підтверджену вразливість безпеки й дають нам шанс випустити виправлення, дякують на сторінці подяк за безпеку. Прийняті покращення, що не перетинають межу безпеки, все одно можуть бути відзначені в наших примітках до релізу.

Подяки посилаються на X-профіль кожного доповідача й показують його аватар. За дубльовані повідомлення подяка належить лише першому доповідачеві.

Звичайні помилки й підтримка

З усього, що не є вразливістю безпеки, звертайтеся до трекера проблем Omarchy.

Повідомлення електронною поштою

Якщо ви не хочете створювати обліковий запис HackerOne, ви також можете надіслати свій звіт електронною поштою на security@omarchy.org.