漏洞與事件處理

產品漏洞報告

也參考

如果您曾使用 AI 發現 Weblate 的安全問題，請閱讀 使用 AI 建立 issues。

Weblate 開發團隊堅定致力於以負責任的方式回報及揭露安全性相關問題。我們採用並遵循旨在及時提供 Weblate 安全性更新的原則。

產品弱點回報涵蓋 Weblate 原始碼、發行產物及已記載的 Weblate 安全性特性中所發生的安全性問題，無法取代特定部署環境的營運事件回應。

關於另行散布的 Weblate Client（wlc）之通報，會依據 wlc 威脅模型 評估；該文件記載預期的信任邊界、支援的安全性屬性，以及明確排除的目標。

Weblate 的一般錯誤大多會回報至公開的 GitHub 問題追蹤器；但由於安全性問題十分敏感，請勿以這種方式公開回報。

如果您認為在 Weblate 中發現可能影響安全性的問題，請將問題說明寄至 security@weblate.org、使用 GitHub，或透過 HackerOne 提交。

自行託管環境的營運者若認為其部署環境中的事件是由 Weblate 產品弱點所致，應採用此處理程序。部署環境的圍堵、復原、客戶通知、提供者呈報及其他部署環境專用的事件回應，仍由營運者負責。

安全團隊成員會在 48 小時內回覆；視採取的處理方式而定，你可能會收到更多後續電子郵件。依照 事件通報，對於疑似遭主動利用的弱點及嚴重安全性事件，團隊會立即內部處理。收到通報或完成調查，都不會延後通報期限。

備註

傳送加密的報告

如果想傳送加密電子郵件（選用），請使用 security@weblate.org 的公開金鑰，ID 為 8EA7 6E43 0976 3323 C2E3 D5A0 C472 9F23 8A80 EA93.

這把公開金鑰可透過常用金鑰伺服器、WKD 或 直接從 weblate.org 取得。

提示

Weblate 許多功能仰賴第三方元件。如果發現普遍影響其中一個元件的弱點，請直接向該專案回報。如果該弱點也影響 Weblate 隨附成品或 Weblate 部署，請透過上方的私人管道向 Weblate 回報其影響。

其中包括：

• Django

• Django REST 框架

• Python Social Auth

也參考

• 在 Weblate 中回報問題

Security research and testing

When researching security issues in Weblate:

• Use the Sandbox translation project for testing on Hosted Weblate.

• Only interact with accounts you own or have explicit permission from the account holder to use.

• Avoid privacy violations, data destruction, and service interruption or degradation.

• Do not perform denial-of-service attacks, spam, social engineering (including phishing), or physical attacks.

• Obtain explicit permission from the operator before testing other deployments.

You may report availability vulnerabilities demonstrated safely in an environment you control. The prohibition on disruptive testing does not exclude these reports.

Weblate 營運服務的事件

影響 Hosted Weblate、Dedicated Weblate 或其他由 Weblate s.r.o. 營運之部署環境的營運事件，會依 Weblate 事件回應計畫 處理。

若這類事件同時涉及 Weblate 產品弱點，弱點回報及公開公告會依本頁的產品弱點回報處理程序與 漏洞揭露政策 處理。

自託管部署事件

自行託管 Weblate 部署環境的營運者，須負責其部署環境的事件回應處理程序，包括圍堵、復原、通知及提供者專用的呈報。由 Weblate 營運的 Weblate 事件回應計畫 可作為參考，但不是針對第三方部署環境維護的事件回應計畫。

如果自行託管環境中的事件疑似由 Weblate 產品弱點所致，請使用上述產品弱點回報處理程序加以回報。

漏洞揭露政策

Weblate 會在發布含有弱點修正的版本時，同時於 https://github.com/WeblateOrg/weblate/security/advisories 發布安全性公告。公告會列出受影響的版本、影響、嚴重程度，以及使用者可採取的修正步驟。

若在使用者套用修正期間公開技術細節可能帶來更大的安全風險，則可延後公開。事件負責人會在私有事件記錄中記下理由和重新檢視日期。這不會延後主管機關通報或使用者所需的防護建議。

主管機關通報

對於 Weblate 產品弱點遭主動利用及嚴重產品安全性事件，Weblate 採用以下通報時程作為自願政策基準。範圍也包括受影響的隨附相依套件，以及透過自架部署得知的事件。影響 Weblate 營運服務的嚴重安全性事件同樣適用此基準。

報告	期限
早期警告	得知事件後 24 小時內，且不得無故延遲。
主要通知	得知事件後 72 小時內，且不得無故延遲。
弱點遭主動利用時的最終報告	修正或緩解措施開始提供後 14 天內。
嚴重事件的最終報告	提交主要事件通知後一個日曆月內。

時數包含週末和假日。確認收到、宣告事件、交接或完成調查，都不會重新起算這些期限。如果事件同時涉及主動利用和嚴重事件，請追蹤兩種通報義務及各自的最終報告期限。

這些時程依循 歐盟執委會通報指引。事件負責人會記錄適用強制或自願通報，並採取相應管道。依 CRA 通報時，單一通報平台會將通知轉送至協調 CSIRT 和 ENISA。此政策不會判定 Weblate 承擔的法規角色，也不宣稱符合相關法規；請參閱 產品與聯絡資訊。

分類方式、提交步驟及私有事件記錄請參閱 事件通報。

使用者通知

若發生弱點遭主動利用或嚴重安全性事件，Weblate 會在不無故延遲的情況下通知受影響的使用者，並提供可用的緩解和修正措施。適當時，警告會發送給所有使用者。已知受影響的聯絡人（包括 Hosted 和 Dedicated Weblate 客戶）會收到電子郵件。對於不知道聯絡資料的自架版使用者，Weblate 會透過公開的 GitHub 安全性公告提供警告和更新。

修正程式或詳細弱點揭露尚未準備好之前，初步警告仍可先提供防護建議。主管機關通報、使用者警告及公開技術細節會視需要分別進行。

即使沒有主動利用或嚴重產品安全性事件，個人資料外洩仍須另行評估是否 通知受影響個人。