Segurança no Omarchy
Relate uma vulnerabilidade
Se você acredita que encontrou uma vulnerabilidade de segurança no Omarchy, relate em particular para a Equipe de Segurança do Omarchy através do nosso programa HackerOne, para que tenhamos a oportunidade de investigar e corrigir antes que seja tornada pública. Vulnerabilidades confirmadas são elegíveis para recompensas pagas pelo HackerOne.
hackerone.com/omarchyNão relate possíveis vulnerabilidades publicamente em GitHub Issues, Discord ou redes sociais antes que sejam resolvidas.
O que é uma vulnerabilidade?
Consideramos um bug uma vulnerabilidade de segurança quando ele pode ser explorado para cruzar uma fronteira de segurança relevante: uma parte não confiável ou com menos privilégios ganha acesso, permissões ou controle que ainda não tinha.
Código que poderia ser mais robusto, mas não cruza uma fronteira de segurança, é uma melhoria, não uma vulnerabilidade de segurança. Ainda assim podemos aceitar a correção proposta e dar crédito ao relator nas nossas notas de lançamento.
A elegibilidade para nossa página de créditos de segurança depende de o relato identificar uma vulnerabilidade de segurança confirmada, não da sua gravidade.
O que incluir
Dê-nos informações suficientes para entender e reproduzir o problema:
- O componente afetado e a versão do Omarchy.
- Uma explicação do que um invasor pode fazer antes e depois da exploração.
- Passos para reproduzir o problema e qualquer prova de conceito.
- Seus dados de contato preferidos para acompanhamento.
Divulgação responsável
Aja de boa-fé ao investigar e relatar vulnerabilidades:
- Teste apenas sistemas e contas que você possui ou para os quais tem permissão explícita de teste.
- Evite violações de privacidade, interrupções, destruição de dados e degradação de serviços.
- Não explore uma vulnerabilidade além do necessário para demonstrá-la.
- Dê-nos uma oportunidade razoável de investigar e resolver o problema antes de publicar detalhes.
Vamos revisar seu relato e mantê-lo informado na medida do possível enquanto trabalhamos por uma resolução.
Créditos
Pesquisadores que relatam em privado uma vulnerabilidade de segurança confirmada e nos dão a chance de enviar uma correção são agradecidos na página de créditos de segurança. Melhorias aceitas que não cruzam uma fronteira de segurança ainda podem receber crédito nas nossas notas de lançamento.
Os créditos levam ao perfil de cada relator no X e mostram seu avatar. Para relatos duplicados, só o primeiro relator tem direito ao crédito.
Bugs comuns e suporte
Para qualquer coisa que não seja uma vulnerabilidade de segurança, use o rastreador de issues do Omarchy.
Relato por e-mail
Se você preferir não criar uma conta no HackerOne, também pode enviar seu relatório por e-mail para security@omarchy.org.