Langkau ke kandungan

Keselamatan di Omarchy

Laporkan kerentanan

Jika anda rasa anda terjumpa kerentanan keselamatan dalam Omarchy, sila laporkannya secara sulit kepada Omarchy Security Team melalui program HackerOne kami, supaya kami berpeluang menyiasat dan membaikinya sebelum ia didedahkan kepada umum. Kerentanan yang disahkan layak menerima ganjaran yang dibayar melalui HackerOne.

hackerone.com/omarchy

Sila jangan laporkan potensi kerentanan secara terbuka di GitHub Issues, Discord, atau media sosial sebelum ia diselesaikan.

Apakah kerentanan?

Kami menganggap pepijat sebagai kerentanan keselamatan apabila ia boleh dieksploitasi untuk melepasi sempadan keselamatan yang bermakna: pihak yang tidak dipercayai atau berkeistimewaan rendah mendapat akses, kebenaran, atau kawalan yang belum mereka miliki.

Kod yang boleh menjadi lebih teguh tetapi tidak melepasi sempadan keselamatan ialah penambahbaikan dan bukannya kerentanan keselamatan. Kami mungkin masih menggabungkan pembaikan yang dicadangkan dan memberi penghargaan kepada pelapor dalam nota keluaran kami.

Kelayakan untuk halaman penghargaan keselamatan kami bergantung pada sama ada laporan mengenal pasti kerentanan keselamatan yang disahkan, bukan pada keterukannya.

Apa yang perlu disertakan

Beri kami maklumat yang cukup untuk memahami dan menghasilkan semula isu:

  • Komponen yang terjejas dan versi Omarchy.
  • Penjelasan tentang apa yang boleh dilakukan penyerang sebelum dan selepas eksploitasi.
  • Langkah untuk menghasilkan semula isu dan sebarang bukti konsep.
  • Butiran hubungan pilihan anda untuk susulan.

Pendedahan bertanggungjawab

Sila bertindak dengan niat baik semasa menyiasat dan melaporkan kerentanan:

  • Hanya uji sistem dan akaun yang anda miliki atau yang anda ada kebenaran nyata untuk diuji.
  • Elakkan pelanggaran privasi, gangguan, pemusnahan data, dan penurunan perkhidmatan.
  • Jangan mengeksploitasi kerentanan melebihi apa yang diperlukan untuk menunjukkannya.
  • Beri kami peluang yang munasabah untuk menyiasat dan menangani isu sebelum menerbitkan butirannya.

Kami akan menyemak laporan anda dan memaklumkan anda setakat yang terdaya semasa kami berusaha ke arah penyelesaian.

Penghargaan

Penyelidik yang melaporkan kerentanan keselamatan yang disahkan secara sulit dan memberi kami peluang untuk menghantar pembaikan dihargai di halaman penghargaan keselamatan. Penambahbaikan yang diterima yang tidak melepasi sempadan keselamatan mungkin masih diberi penghargaan dalam nota keluaran kami.

Penghargaan berpaut ke profil X setiap pelapor dan memaparkan avatar mereka. Untuk laporan pendua, hanya pelapor pertama layak mendapat penghargaan.

Pepijat biasa dan sokongan

Untuk apa sahaja yang bukan kerentanan keselamatan, sila gunakan penjejak isu Omarchy.

Pelaporan melalui e-mel

Jika anda tidak mahu membuat akaun HackerOne, anda juga boleh hantar laporan anda melalui e-mel ke security@omarchy.org.