Sicurezza — Omarchy

Segnala una vulnerabilità

Se pensi di aver trovato una vulnerabilità di sicurezza in Omarchy, segnalala in privato all’Omarchy Security Team tramite il nostro programma HackerOne, così avremo la possibilità di analizzarla e correggerla prima che venga resa pubblica. Le vulnerabilità confermate possono ricevere ricompense pagate tramite HackerOne.

hackerone.com/omarchy

Non segnalare pubblicamente possibili vulnerabilità su GitHub Issues, Discord o sui social prima che siano state risolte.

Cos'è una vulnerabilità?

Consideriamo un bug una vulnerabilità di sicurezza quando può essere sfruttato per oltrepassare un confine di sicurezza rilevante: un soggetto non attendibile o con privilegi inferiori ottiene accesso, permessi o controllo che prima non aveva.

Il codice che potrebbe essere più robusto, ma non permette di oltrepassare un confine di sicurezza, richiede un miglioramento: non costituisce una vulnerabilità di sicurezza. Possiamo comunque accettare una correzione e riconoscere il contributo nelle note di rilascio.

L'inclusione nella pagina dei riconoscimenti per la sicurezza dipende dal fatto che la segnalazione identifichi una vulnerabilità confermata, non dalla sua gravità.

Cosa includere

Fornisci informazioni sufficienti a capire e riprodurre il problema:

Il componente interessato e la versione di Omarchy.
Una spiegazione di cosa può fare un attaccante prima e dopo aver sfruttato la vulnerabilità.
I passaggi per riprodurre il problema ed eventuali dimostrazioni tecniche (proof of concept).
I recapiti a cui preferisci essere ricontattato.

Divulgazione responsabile

Agisci in buona fede mentre analizzi e segnali vulnerabilità:

Esegui test solo su sistemi e account di tua proprietà o per cui hai un'autorizzazione esplicita.
Evita violazioni della privacy, interruzioni, distruzione di dati e degrado del servizio.
Non sfruttare una vulnerabilità oltre quanto necessario per dimostrarla.
Concedici un tempo ragionevole per indagare e risolvere il problema prima di pubblicarne i dettagli.

Esamineremo la segnalazione e ti terremo informato, per quanto possibile, mentre lavoriamo alla soluzione.

Riconoscimenti

I ricercatori che segnalano privatamente una vulnerabilità confermata e ci danno il tempo di pubblicare una correzione vengono ringraziati nella pagina dei riconoscimenti per la sicurezza. I miglioramenti accettati che non riguardano il superamento di un confine di sicurezza possono comunque essere citati nelle note di rilascio.

I riconoscimenti rimandano al profilo X di chi ha effettuato la segnalazione e ne mostrano l'avatar. In caso di segnalazioni duplicate, il riconoscimento spetta solo alla prima persona che ha segnalato il problema.

Bug comuni e assistenza

Per tutto ciò che non è una vulnerabilità di sicurezza, usa il sistema di segnalazione di Omarchy.

Segnalazione via email

Se preferisci non creare un account HackerOne, puoi anche inviare la tua segnalazione via email a security@omarchy.org.