Безопасность в Omarchy
Сообщить об уязвимости
Если вам кажется, что вы нашли уязвимость в безопасности Omarchy, пожалуйста, сообщите о ней приватно команде безопасности Omarchy через нашу программу HackerOne, чтобы у нас была возможность изучить и исправить её до публичной огласки. Подтверждённые уязвимости дают право на вознаграждения, выплачиваемые через HackerOne.
hackerone.com/omarchyПожалуйста, не сообщайте о потенциальных уязвимостях публично — в GitHub Issues, Discord или соцсетях — пока они не устранены.
Что такое уязвимость?
Мы считаем баг уязвимостью безопасности, когда его можно эксплуатировать для пересечения значимой границы безопасности: недоверенная или менее привилегированная сторона получает доступ, разрешения или контроль, которых у неё ещё не было.
Код, который мог бы быть надёжнее, но не пересекает границу безопасности, — это улучшение, а не уязвимость безопасности. Мы всё равно можем принять предложенное исправление и поблагодарить сообщившего в примечаниях к релизу.
Право попасть на страницу благодарностей за безопасность зависит от того, описывает ли сообщение подтверждённую уязвимость безопасности, а не от её серьёзности.
Что включить
Дайте нам достаточно информации, чтобы понять и воспроизвести проблему:
- Затронутый компонент и версия Omarchy.
- Объяснение того, что злоумышленник может сделать до и после эксплуатации.
- Шаги воспроизведения проблемы и любые доказательства концепции (proof of concept).
- Предпочтительные контактные данные для связи.
Ответственное раскрытие
Пожалуйста, действуйте добросовестно при поиске и сообщении об уязвимостях:
- Тестируйте только системы и аккаунты, которыми владеете или на тестирование которых имеете явное разрешение.
- Избегайте нарушений приватности, сбоев, уничтожения данных и деградации сервисов.
- Не эксплуатируйте уязвимость сверх необходимого для её демонстрации.
- Дайте нам разумную возможность расследовать и устранить проблему, прежде чем публиковать детали.
Мы рассмотрим ваше сообщение и будем держать вас в курсе по мере сил, пока работаем над решением.
Благодарности
Исследователи, приватно сообщившие о подтверждённой уязвимости безопасности и давшие нам шанс выпустить исправление, отмечаются на странице благодарностей за безопасность. Принятые улучшения, не пересекающие границу безопасности, всё равно могут быть отмечены в наших примечаниях к релизу.
Благодарности ссылаются на X-профиль каждого сообщившего и показывают его аватар. При дублирующихся сообщениях благодарность получает только первый сообщивший.
Обычные баги и поддержка
По всему, что не является уязвимостью безопасности, пожалуйста, используйте трекер задач Omarchy.
Отчёт по электронной почте
Если вы не хотите создавать аккаунт на HackerOne, вы также можете отправить свой отчёт по почте на security@omarchy.org.