Tratamento de vulnerabilidades e incidentes¶

Relatórios de vulnerabilidade de produto¶

Veja também

Por favor leia Utilizar IA para criar assuntos caso tenha usado IA para descobrir um problema de segurança no Weblate.

A equipa de desenvolvimento da Weblate está fortemente comprometida com relatórios e divulgação responsáveis de problemas relacionados à segurança. Adotamos e seguimos políticas voltadas para a entrega de atualizações de segurança oportunas para a Weblate.

Relatórios de vulnerabilidade de produto no código fonte do Weblate, artefactos de lançamento, e propriedades de segurança do Weblate documentadas. Elas não substituem respostas de incidente operacionais para uma implementação particular.

Reports concerning the separately distributed Weblate Client (wlc) are evaluated against the wlc threat model, which documents its intended trust boundaries, supported security properties, and explicit non-goals.

A maior parte dos bugs no Weblate são reportados no nosso rastreador de problemas GitHub público, mas devido à natureza sensível dos problemas de segurança, pedimos que não sejam comunicados publicamente desta maneira.

Em vez disso, se acredita ter encontrado algo no Weblate que tenha implicações de segurança, envie uma descrição do problema para security@weblate.org, GitHub ou usando HackerOne.

Operadores auto alojados devem usar este processo quando acreditam que um incidente na sua própria implementação é causado por uma vulnerabilidade de produto Weblate. Contenção local, recuperação, notificação de cliente, escalar de fornecedor, e outras respostas ao incidente específicas de implementação continuam a ser responsabilidade do operador.

A member of the security team will respond to you within 48 hours, and depending on what action is taken, you may get more follow-up emails. Suspected active exploitation and severe security incidents receive immediate internal attention under Incident reporting. Acknowledging a report or completing an investigation does not postpone reporting deadlines.

Nota

Enviando relatórios criptografados

Se quiser enviar um email encriptado (opcional), por favor use a chave pública para security@weblate.org com o ID 8EA7 6E43 0976 3323 C2E3 D5A0 C472 9F23 8A80 EA93.

Esta chave pública está disponível nos servidores de chave utilizados mais comuns, a usar WKD ou diretamente a partir do weblate.org.

Dica

Weblate depends on third-party components for many things. In case you find a vulnerability affecting one of those components in general, please report it directly to the respective project. If it also affects a shipped Weblate artifact or a Weblate deployment, report that impact to Weblate through the private channels above.

Alguns deles são:

Veja também

Reportando problemas no Weblate

Security research and testing¶

When researching security issues in Weblate:

Use the Sandbox translation project for testing on Hosted Weblate.
Only interact with accounts you own or have explicit permission from the account holder to use.
Avoid privacy violations, data destruction, and service interruption or degradation.
Do not perform denial-of-service attacks, spam, social engineering (including phishing), or physical attacks.
Obtain explicit permission from the operator before testing other deployments.

You may report availability vulnerabilities demonstrated safely in an environment you control. The prohibition on disruptive testing does not exclude these reports.

Incidentes de serviço operados pelo Weblate¶

Incidentes operacionais que afetam o Hosted Weblate, Dedicated Weblate, ou outras implementações operadas pelo Weblate s.r.o. são geridas usando Plano de resposta de incidente para o Weblate.

Quando tal incidente também involve uma vulnerabilidade de produto Weblate, o relatório de vulnerabilidade e aconselhamento público seguem o processo de comunicação de vulnerabilidade do produto e Política de divulgação de vulnerabilidades nesta página.

Incidentes de implementação de alojamento prórprio¶

Operadores de implementações Weblate auto alojadas são responsáveis pelo seu próprio processo de resposta de incidente local, incluindo contenção, recuperação, notificação, e escalar específico ao fornecedor. O Plano de resposta de incidente para o Weblate operado pelo Weblate pode ser usado como referência, mas não é um plano de resposta de incidente para implementações de terceiros.

Se o incidente de alojamento prórprio parece ser causado por uma vulnerabilidade de um produto Weblate, comunique-o usando o processo de reportar da vulnerabilidade do produto acima.

Política de divulgação de vulnerabilidades¶

Weblate publishes a security advisory alongside a release containing a vulnerability fix at https://github.com/WeblateOrg/weblate/security/advisories. Advisories identify affected versions, impact, severity, and steps users can take to remediate the vulnerability.

Technical details may be delayed when publishing them would create greater security risks than benefits while users apply the fix. The incident handler records the reason and a review date in the private incident note. This does not delay authority reports or protective advice users need.

Authority reporting¶

Weblate adopts the following reporting timelines as a voluntary policy baseline for actively exploited Weblate product vulnerabilities and severe product-security incidents. This includes affected shipped dependencies and incidents learned about through self-hosted deployments. Severe security incidents affecting Weblate-operated services also follow this baseline.

Relatório	Deadline
Early warning	Without undue delay, within 24 hours of awareness.
Main notification	Without undue delay, within 72 hours of awareness.
Final report for an actively exploited vulnerability	Within 14 days after a corrective or mitigating measure becomes available.
Final report for a severe incident	Within one calendar month after the main incident notification.

Hours include weekends and holidays. Acknowledgment, incident declaration, handover, or completion of an investigation does not restart these clocks. When an event involves both active exploitation and a severe incident, track both reporting obligations and final-report deadlines.

These timelines follow the European Commission reporting guidance. The incident handler records whether mandatory or voluntary reporting applies and uses the corresponding route. For CRA reporting, the Single Reporting Platform routes notifications to the coordinating CSIRT and ENISA. This policy does not determine Weblate’s regulatory role or claim compliance; see Informação de produto e contacto.

For classification, submission steps, and private incident records, see Incident reporting.

User notifications¶

Weblate informs impacted users of active exploitation or severe security incidents without undue delay, including available mitigations and corrective actions. Where appropriate, warnings address all users. Known affected contacts, including Hosted and Dedicated Weblate customers, receive e-mail notifications. Public GitHub security advisories provide warnings and updates for self-hosted users whose contact details are not known.

Initial warnings can provide protective advice before a fix or detailed vulnerability disclosure is ready. Authority reporting, user warnings, and publication of technical details proceed separately as needed.

Personal-data breaches also require a separate assessment of notifications to affected individuals, even when there is no active exploitation or severe product-security incident.