Vulnerability and incident handling¶
セキュリティ問題の報告¶
参考
Please read Using AI to create issues in case you have used AI to discover a security issue in Weblate.
Weblate の開発チームは、セキュリティ関連の問題を責任を持って報告し、開示することに全力で取り組んでいます。私たちは、Weblate にタイムリーなセキュリティ更新を提供することを目的としたポリシーを採用し、それに従っています。
Most normal bugs in Weblate are reported to our public GitHub issues tracker, but due to the sensitive nature of security issues, we ask them not to be publicly reported in this fashion.
代わりに、Weblate でセキュリティに関する問題を発見した場合、security@weblate.org、GitHub、または HackerOne を使用して、問題の説明を送信してください。
セキュリティ チームのメンバーが 48 時間以内に返信し、その対応に基づいて、さらなるフォローアップ メールが届くこともあります。
注釈
暗号化したレポートの送信
If you want to send an encrypted email (optional), please use the public
key for michal@weblate.org with ID 3CB 1DF1 EF12 CF2A C0EE 5A32 9C27 B313
42B7 511D. This public key is available on the most commonly used key servers,
and from Keybase.
ヒント
Weblate は、多くの点でサード パーティのコンポーネントに依存しています。このコンポーネントで一般的に影響する脆弱性を発見した場合は、それぞれのプロジェクトに直接報告してください。
依存するプログラム例:
Vulnerability disclosure policy¶
Within 30 days following a release containing a vulnerability fix, a security advisory is published at https://github.com/WeblateOrg/weblate/security/advisories. The advisory is available immediately with a release when possible.
Any actively exploited vulnerability or severe incidents are notified to CSIRT within 24 hours, general info is provided to CSIRT within 72 hours, and a full report is provided within 14 days.
All users of Hosted or Dedicated Weblate impacted by a severe incident or an actively exploited vulnerability are notified within 7 days.