Sécurité d’Omarchy

Signaler une vulnérabilité

Si vous pensez avoir trouvé une vulnérabilité de sécurité dans Omarchy, signalez-la en privé à l’équipe de sécurité Omarchy afin qu’elle puisse l’examiner et la corriger avant toute divulgation publique.

security@omarchy.org

Ne signalez pas publiquement de vulnérabilités potentielles dans les issues GitHub, sur Discord ou sur les réseaux sociaux avant leur résolution.

Qu’est-ce qu’une vulnérabilité ?

Un défaut constitue une vulnérabilité de sécurité lorsqu’il permet de franchir une frontière de sécurité significative : un acteur non fiable ou moins privilégié obtient un accès, des autorisations ou un contrôle qu’il ne possédait pas déjà.

Un code qui pourrait être plus robuste, mais ne franchit aucune frontière de sécurité, relève d’une amélioration et non d’une vulnérabilité. Un correctif proposé peut tout de même être intégré et crédité dans les notes de version.

L’éligibilité aux crédits de sécurité dépend du fait qu’un signalement identifie une vulnérabilité confirmée, pas de sa gravité.

Informations à inclure

Donnez à l’équipe suffisamment d’informations pour comprendre et reproduire le problème :

• Le composant affecté et la version d’Omarchy.
• Une explication de ce qu’un attaquant peut faire avant et après l’exploitation.
• Les étapes de reproduction et toute preuve de concept disponible.
• Vos coordonnées préférées pour le suivi.

Divulgation responsable

Agissez de bonne foi lorsque vous recherchez et signalez des vulnérabilités :

• Testez uniquement les systèmes et les comptes que vous possédez ou pour lesquels vous avez reçu une autorisation explicite.
• Évitez les atteintes à la vie privée, les perturbations d’activité, la destruction de données et la dégradation des services.
• N’exploitez pas une vulnérabilité au-delà de ce qui est nécessaire pour la démontrer.
• Laissez à l’équipe une possibilité raisonnable d’examiner et de résoudre le problème avant d’en publier les détails.

L’équipe examinera votre signalement et vous tiendra informé dans la mesure du possible pendant qu’elle travaille à une résolution.

Crédits

Les chercheurs en sécurité qui signalent en privé une vulnérabilité confirmée et laissent à l’équipe le temps de publier un correctif sont remerciés sur la page des crédits de sécurité. Les améliorations acceptées qui ne franchissent pas une frontière de sécurité peuvent tout de même être créditées dans les notes de version.

Lorsque plusieurs personnes signalent la même vulnérabilité, seule la première peut recevoir un crédit.

Bugs ordinaires et assistance

Tout problème qui n’est pas une vulnérabilité de sécurité doit être signalé dans les issues GitHub d’Omarchy.