Güvenlik açığı bildirme

Özel olarak, asla herkese açık bir issue olarak değil.

• GitHub'da bir güvenlik danışmanlığı açın (yalnızca siz ve geliştirici görür) ya da
• info@stackvo.io adresine e-posta gönderin.

Ne yaptığınızı, ne olduğunu, hangi sürüm ve platformda olduğunu yazın. Bir kanıt (proof of concept) yardımcı olur ama bildirmek için şart değildir.

Ne bekleyebilirsiniz

Alındı bilgisi	72 saat içinde
Değerlendirme	bir hafta içinde
Açıklama	gerekiyorsa düzeltmeden sonra, sizinle kararlaştırılan bir tarihte

Yalnızca son sürüm desteklenir. Bu 1.0 öncesi bir proje ve geriye dönük düzeltme dalı yok.

Kapsamda olanlar

StackVo yerel bir geliştirme aracıdır, dolayısıyla sıradan bir masaüstü uygulamasından fazlasına ulaşır: Docker soketi, hosts dosyası, proje dizinleri, alt süreçler, .env dosyaları ve başkalarının yazdığı servis paketleri. Her birinin bir sınırı var; güvenlik politikası bunları bir tabloda listeler. Bir sınırı geçen bildirim kapsamdadır:

• çalışma alanından kaçmak: <workspace>/projects/ dışını okumak ya da yazmak;
• Docker'a, hosts dosyasına ya da bir alt sürece kullanıcının vermediği bir girdiyle ulaşmak, örneğin hazırlanmış bir stackvo.json ya da .env ile;
• bir sırrın süreçten çıkması: bir olay yükünde, tanı logunda, ekrana çizilen bir görünümde;
• güncelleme imza doğrulamasını atlatmak;
• PRIVACY.md'nin adlandırmadığı bir sunucuya bağlanan bir derleme.

Kapsam dışı olanlar

• Zaten kullanıcı hesabınıza sahip bir saldırgan gerektiren her şey. Uygulama sizin olarak çalışır ve kendi makinenizi yönetir; kendinize karşı bir yetki sınırı değildir.
• Docker'ın Docker işleri yapabilmesi. Sokete erişim işin kendisidir.
• Tauri'nin Linux yığınındaki bakımsız geçişli crate'lere ait uyarılar. Nedenleriyle birlikte src-tauri/deny.toml içinde izlenirler; birindeki gerçek bir açık kapsamdadır.