Sicherheit - Omarchy

Eine Schwachstelle melden

Wenn du glaubst, eine Sicherheitslücke in Omarchy gefunden zu haben, melde sie bitte privat an das Omarchy Security Team über unser HackerOne-Programm, damit wir die Möglichkeit haben, sie zu untersuchen und zu beheben, bevor sie öffentlich gemacht wird. Bestätigte Schwachstellen erhalten Bounties, die über HackerOne ausgezahlt werden.

hackerone.com/omarchy

Bitte melde potenzielle Schwachstellen nicht öffentlich in GitHub Issues, Discord oder Social Media, bevor sie behoben sind.

Was ist eine Schwachstelle?

Wir betrachten einen Bug als Sicherheitslücke, wenn er ausgenutzt werden kann, um eine bedeutende Sicherheitsgrenze zu überschreiten: Eine nicht vertrauenswürdige oder niedriger privilegierte Partei erhält Zugang, Berechtigungen oder Kontrolle, die sie nicht bereits hatte.

Code, der robuster sein könnte, aber keine Sicherheitsgrenze überschreitet, ist eine Verbesserung, keine Sicherheitslücke. Wir mergen einen vorgeschlagenen Fix trotzdem vielleicht und danken dem Melder in unseren Release Notes.

Ob du auf die Seite Sicherheits-Danksagungen aufgenommen wirst, hängt davon ab, ob deine Meldung eine bestätigte Sicherheitslücke beschreibt, nicht von ihrer Schwere.

Was du beilegen solltest.

Gib uns genug Informationen, um das Problem zu verstehen und zu reproduzieren:

Die betroffene Komponente und Omarchy-Version.
Eine Erklärung dessen, was ein Angreifer vor und nach der Ausnutzung tun kann.
Schritte zur Reproduktion des Problems und etwaiger Proof of Concept.
Deine bevorzugten Kontaktdaten für Rückfragen.

Verantwortungsvolle Offenlegung

Bitte handle bei der Untersuchung und Meldung von Schwachstellen nach Treu und Glauben:

Teste nur Systeme und Konten, die dir gehören oder für die du eine ausdrückliche Testerlaubnis hast.
Vermeide Verletzungen der Privatsphäre, Störungen, Datenzerstörung und Beeinträchtigung von Diensten.
Nutze eine Schwachstelle nicht über das zur Demonstration nötige Maß hinaus aus.
Gib uns eine angemessene Gelegenheit, das Problem zu untersuchen und zu beheben, bevor du Details veröffentlichst.

Wir prüfen deine Meldung und halten dich auf dem Laufenden, soweit wir können, während wir auf eine Lösung hinarbeiten.

Danksagungen

Forscher, die eine bestätigte Sicherheitslücke vertraulich melden und uns die Chance geben, einen Fix auszuliefern, werden auf der Seite Sicherheits-Danksagungen gewürdigt. Akzeptierte Verbesserungen, die keine Sicherheitsgrenze überschreiten, werden trotzdem vielleicht in unseren Release Notes gewürdigt.

Die Danksagungen verlinken auf das X-Profil jedes Melders und zeigen seinen Avatar. Bei doppelten Meldungen erhält nur der erste Melder eine Danksagung.

Normale Bugs und Support

Für alles, was keine Sicherheitslücke ist, nutze bitte den Omarchy-Issue-Tracker.

Meldung per E-Mail

Wenn du lieber kein HackerOne-Konto erstellen möchtest, kannst du deinen Bericht auch per E-Mail an security@omarchy.org senden.