Bezpečnost
Jak nahlásit zranitelnost v čemkoli, co vydáváme nebo provozujeme, co se stane po nahlášení a o co prosíme během testování.
Nahlaste to
Napište na [email protected], co jste našli, kde a co by s tím útočník dokázal. Proof of concept má větší cenu než výstup ze skeneru.
Neotvírejte na bezpečnostní problém veřejný issue. Všechno, co Trebired vydává, je open source, takže issue je zveřejnění.
Co bude
Děkujeme za každé hlášení, ať jde o zranitelnost, nebo o cokoli jiného, co nevypadá správně. Kdo si dá práci ho sepsat, odvádí kus práce pro každého, kdo tenhle kód používá, a jsme mu za to vděční.
Do dvou pracovních dnů dostanete potvrzení od člověka, ne ze šablony, a do týdne posouzení, ve kterém stojí, jestli se shodneme, že jde o zranitelnost, a co s tím hodláme dělat. Oprava vyjde hned, jak je hotová, se zmínkou v poznámkách k vydání, pokud o ni stojíte.
Otestujte to a
Testujte pokud možno proti vlastní instalaci. Náš kód je veřejný, takže si ho můžete spustit sami.
Nepřistupujte k datům, která nejsou vaše, nekopírujte je, neměňte je, nedržte si je ani je nevynášejte, a přestaňte, jakmile problém potvrdíte.
Dejte nám rozumný čas na opravu, než to zveřejníte. Nebudeme po vás chtít, abyste mlčeli donekonečna, a ten čas nepoužijeme k tomu, abychom nález ukecali.
Žádné odměny, žádné
V rozsahu je každá služba, kterou Trebired provozuje, a každý repozitář, který Trebired vydává. Mimo rozsah jsou hlášení, která jen opakují výstup skeneru bez funkčního zneužití, chybějící hardening hlavičky bez prokázaného dopadu, sociální inženýrství vůči lidem, kteří organizaci provozují, odstávka hrubou silou a vady ve službách třetích stran, které jen používáme.
Nebudeme vyhrožovat tomu, kdo se držel těchto pravidel, a dobromyslný výzkum nebudeme považovat za útok. Neprovozujeme bug bounty a neplatíme odměny. Říkáme to tady, místo aby to někdo zjistil, až bude práce hotová.