漏洞與事件處理¶

產品漏洞報告¶

也參考

如果您曾使用 AI 發現 Weblate 的安全問題，請閱讀使用 AI 建立 issues。

Weblate 開發團隊堅定致力於以負責任的方式回報及揭露安全性相關問題。我們採用並遵循旨在及時提供 Weblate 安全性更新的原則。

產品弱點回報涵蓋 Weblate 原始碼、發行產物及已記載的 Weblate 安全性特性中所發生的安全性問題，無法取代特定部署環境的營運事件回應。

Weblate 的一般錯誤大多會回報至公開的 GitHub 問題追蹤器；但由於安全性問題十分敏感，請勿以這種方式公開回報。

如果您認為在 Weblate 中發現可能影響安全性的問題，請將問題說明寄至 security@weblate.org、使用 GitHub，或透過 HackerOne 提交。

自行託管環境的營運者若認為其部署環境中的事件是由 Weblate 產品弱點所致，應採用此處理程序。部署環境的圍堵、復原、客戶通知、提供者呈報及其他部署環境專用的事件回應，仍由營運者負責。

安全團隊成員會在 48 小時內回覆您；視採取的處理方式而定，您可能會收到更多後續電子郵件。

備註

傳送加密的報告

如果想傳送加密電子郵件（選用），請使用 security@weblate.org 的公開金鑰，ID 為 8EA7 6E43 0976 3323 C2E3 D5A0 C472 9F23 8A80 EA93.

這把公開金鑰可透過常用金鑰伺服器、WKD 或直接從 weblate.org 取得。

提示

Weblate 在很多事情上依賴於第三方元件。如果您發現一個影響這些元件的漏洞，請直接報告給相應的專案。

其中包括：

也參考

影響 Hosted Weblate、Dedicated Weblate 或其他由 Weblate s.r.o. 營運之部署環境的營運事件，會依 Weblate 事件回應計畫處理。

若這類事件同時涉及 Weblate 產品弱點，弱點回報及公開公告會依本頁的產品弱點回報處理程序與漏洞揭露政策處理。

自行託管 Weblate 部署環境的營運者，須負責其部署環境的事件回應處理程序，包括圍堵、復原、通知及提供者專用的呈報。由 Weblate 營運的 Weblate 事件回應計畫可作為參考，但不是針對第三方部署環境維護的事件回應計畫。

如果自行託管環境中的事件疑似由 Weblate 產品弱點所致，請使用上述產品弱點回報處理程序加以回報。

對於 Weblate 產品弱點，含有弱點修正的版本發行後 30 天內，會在 https://github.com/WeblateOrg/weblate/security/advisories 發佈安全性公告。如有可能，公告會在版本發行後立即提供。

任何遭到積極利用的 Weblate 弱點，或影響 Weblate 營運服務的嚴重事件，都會在 24 小時內通知 CSIRT、在 72 小時內向 CSIRT 提供一般資訊，並在 14 天內提供完整報告。

所有受活躍利用漏洞或嚴重事件影響的託管或專用 Weblate 的使用者會在 7 天內收到通知。