Сообщить об уязвимости

Если вы нашли проблему безопасности в LibreTimes, сообщите нам о ней лично на security@libretimes.io, прежде чем рассказывать кому-либо ещё.

Не открывайте публичное обращение по вопросу безопасности. Не публикуйте сведения о проблеме, пока она не исправлена.

Что указать

В чём проблема и что с её помощью может сделать злоумышленник
Шаги для воспроизведения — достаточно подробно, чтобы мы могли по ним пройти
Всё существенное о вашем окружении: браузер, состояние аккаунта, время
Как вас упомянуть, если мы это исправим

Работающее доказательство концепции помогает. Вывод сканера уязвимостей, вставленный без пояснений, как правило, нет.

Мы подтвердим, что получили сообщение, скажем, считаем ли проблему уязвимостью, и сообщим, когда она будет исправлена. Команда у нас небольшая, поэтому подождите несколько рабочих дней и напомните о себе, если ответа нет.

После исправления можете писать о находке публично. Если хотите опубликовать раньше, скажите нам, и мы договоримся о дате, а не будем спорить потом.

Проверка: что можно, а что нельзя

Можно исследовать собственный аккаунт и проверять публичный сайт в той мере, в какой это нужно, чтобы показать проблему.

Нельзя:

Получать доступ к чужим персональным данным, скачивать или хранить их. Если вы можете до них добраться, остановитесь и опишите, до чего могли добраться, вместо того чтобы их собирать.
Извлекать или публиковать учётные данные, ключи или внутреннюю конфигурацию.
Ухудшать работу сервиса для других. Никакого нагрузочного тестирования, отказа в обслуживании, автоматического сканирования такой интенсивности, что оно вредит.
Изменять или удалять данные, которые вам не принадлежат.
Применять социальную инженерию, фишинг или физический доступ к кому бы то ни было.

Граница проходит не по намерениям. Искать уязвимость можно; забирать чужие данные незаконно в большинстве стран, что бы вы ни имели в виду, и мы будем относиться к этому так же.

Соблюдайте эти правила, и мы будем считать ваше сообщение добросовестным исследованием и не станем вас за него преследовать.

Признание

Оплачиваемой программы поиска уязвимостей у нас нет. Мы небольшой проект и не можем обещать вознаграждение.

Что мы можем предложить, в зависимости от сообщения:

публичное упоминание на странице благодарностей за безопасность, если хотите;
вознаграждение, когда у нас есть средства и находка того стоит, — на наше усмотрение и никогда не гарантированно заранее;
согласие на то, чтобы вы описали находку публично после исправления.

Если вам нужна гарантированная выплата, это не та программа, и мы лучше скажем об этом прямо, чем будем намекать на обратное.

Область действия

В область входят действующий сайт LibreTimes и обслуживающие его хосты.

Вне области: всё, что найдено только с нарушением правил проверки выше, сообщения, сводящиеся к отсутствию рекомендуемых заголовков без показанных последствий, и находки в сторонних сервисах, которыми мы не управляем.

Не проблема безопасности?

Об обычных ошибках — на странице Сообщить о проблеме.