אבטחה ב־Omarchy
דיווח על פגיעות
אם אתם חושבים שמצאתם פגיעות אבטחה ב-Omarchy, אנא דווחו עליה באופן פרטי ל-צוות האבטחה של Omarchy דרך תוכנית HackerOne שלנו, כדי שתהיה לנו הזדמנות לחקור ולתקן אותה לפני שהיא מתפרסמת. פגיעויות מאושרות זכאיות למענקים שמשולמים דרך HackerOne.
hackerone.com/omarchyאנא אל תדווחו על פגיעויות פוטנציאליות בפומבי ב־GitHub Issues, ב־Discord או ברשתות חברתיות לפני שהן נפתרו.
מהי פגיעות?
אנחנו רואים באג כפגיעות אבטחה כשהוא ניתן לניצול כדי לחצות גבול אבטחה משמעותי: צד לא מהימן או עם הרשאות נמוכות יותר מקבל גישה, הרשאות או שליטה שעוד לא היו לו.
קוד שיכול להיות חסין יותר אבל אינו חוצה גבול אבטחה הוא שיפור ולא פגיעות אבטחה. ייתכן שעדיין נמזג תיקון מוצע ונעניק קרדיט למדווח בהערות הגרסה שלנו.
הזכאות לעמוד קרדיטי האבטחה שלנו תלויה בשאלה האם דיווח מזהה פגיעות אבטחה מאושרת, לא בחומרתה.
מה לכלול
תנו לנו מספיק מידע כדי להבין ולשחזר את הבעיה:
- הרכיב המושפע וגרסת Omarchy.
- הסבר על מה תוקף יכול לעשות לפני ניצול ולאחריו.
- צעדים לשחזור הבעיה וכל הוכחת היתכנות.
- פרטי הקשר המועדפים עליכם להמשך.
דיווח אחראי
אנא פעלו בתום לב בזמן שאתם חוקרים ומדווחים על פגיעויות:
- בדקו רק מערכות וחשבונות שבבעלותכם או שיש לכם הרשאה מפורשת לבדוק.
- הימנעו מהפרות פרטיות, שיבושים, השמדת נתונים והידרדרות שירות.
- אל תנצלו פגיעות מעבר למה שנדרש כדי להדגים אותה.
- תנו לנו הזדמנות סבירה לחקור ולטפל בבעיה לפני פרסום הפרטים.
נבחן את הדיווח שלכם ונעדכן אתכם ככל שנוכל בזמן שאנחנו פועלים לקראת פתרון.
קרדיטים
חוקרים שמדווחים באופן פרטי על פגיעות אבטחה מאושרת ונותנים לנו הזדמנות לשלוח תיקון מקבלים תודה בעמוד קרדיטי האבטחה. שיפורים שהתקבלו שאינם חוצים גבול אבטחה עדיין עשויים לקבל קרדיט בהערות הגרסה שלנו.
קרדיטים מקשרים לפרופיל X של כל מדווח ומציגים את האווטאר שלו. בדיווחים כפולים, רק המדווח הראשון זכאי לקרדיט.
באגים רגילים ותמיכה
לכל דבר שאינו פגיעות אבטחה, אנא השתמשו ב־מעקב האישיוז של Omarchy.
דיווח במייל
אם אתם מעדיפים לא ליצור חשבון HackerOne, אתם יכולים גם לשלוח את הדיווח במייל ל-security@omarchy.org.