Lewati ke konten

Keamanan di Omarchy

Laporkan kerentanan

Jika kamu yakin menemukan kerentanan keamanan di Omarchy, harap laporkan secara privat ke Omarchy Security Team melalui program HackerOne kami, supaya kami sempat menyelidiki dan memperbaikinya sebelum dipublikasikan. Kerentanan yang terkonfirmasi berhak atas bounty yang dibayarkan melalui HackerOne.

hackerone.com/omarchy

Tolong jangan laporkan potensi kerentanan secara publik di GitHub Issues, Discord, atau media sosial sebelum semuanya diselesaikan.

Apa itu kerentanan?

Kami menganggap bug sebagai kerentanan keamanan ketika ia bisa dieksploitasi untuk melintasi batas keamanan yang berarti: pihak yang tidak tepercaya atau berhak lebih rendah mendapatkan akses, izin, atau kendali yang belum mereka miliki.

Kode yang bisa lebih kuat tetapi tidak melintasi batas keamanan adalah peningkatan, bukan kerentanan keamanan. Kami mungkin tetap menggabungkan perbaikan yang diusulkan dan menghargai pelapor dalam catatan rilis kami.

Kelayakan untuk halaman kredit keamanan kami bergantung pada apakah sebuah laporan mengidentifikasi kerentanan keamanan yang terkonfirmasi, bukan pada tingkat keparahannya.

Apa yang disertakan

Beri kami cukup informasi untuk memahami dan mereproduksi masalah ini:

  • Komponen yang terdampak dan versi Omarchy.
  • Penjelasan tentang apa yang bisa dilakukan penyerang sebelum dan sesudah eksploitasi.
  • Langkah-langkah untuk mereproduksi masalah ini dan bukti konsep apa pun.
  • Detail kontak pilihanmu untuk tindak lanjut.

Pengungkapan yang bertanggung jawab

Mohon bertindak dengan itikad baik saat menyelidiki dan melaporkan kerentanan:

  • Uji hanya sistem dan akun yang kamu miliki atau yang eksplisit kamu izinkan untuk diuji.
  • Hindari pelanggaran privasi, gangguan, perusakan data, dan degradasi layanan.
  • Jangan mengeksploitasi kerentanan melampaui yang diperlukan untuk mendemonstrasikannya.
  • Beri kami kesempatan yang wajar untuk menyelidiki dan menangani masalah ini sebelum mempublikasikan detailnya.

Kami akan meninjau laporanmu dan mengabarimu sejauh kami bisa selagi kami bekerja menuju penyelesaian.

Kredit

Peneliti yang melaporkan kerentanan keamanan yang terkonfirmasi secara pribadi dan memberi kami kesempatan untuk merilis perbaikan dihargai di halaman kredit keamanan. Peningkatan yang diterima tetapi tidak melintasi batas keamanan mungkin tetap dihargai dalam catatan rilis kami.

Kredit menaut ke profil X tiap pelapor dan menampilkan avatar mereka. Untuk laporan duplikat, hanya pelapor pertama yang berhak atas kredit.

Bug biasa dan dukungan

Untuk apa pun yang bukan kerentanan keamanan, silakan gunakan pelacak issue Omarchy.

Lapor via email

Kalau kamu tidak mau bikin akun HackerOne, kamu juga bisa mengirim laporanmu via email ke security@omarchy.org.