Sicherheit

Eine Schwachstelle gefunden? Sagen Sie es uns vertraulich.

PNLCS verarbeitet Abrechnung, Kundenzugangsdaten und Zahlungsintegrationen echter Hosting-Unternehmen. Ein Sicherheitsfehler kann Rechnungen, Kundendaten und Zahlungen betreffen, und so behandeln wir jede Meldung.

Schwachstelle melden Vollständige Sicherheitsrichtlinie

E-Mail an [email protected]

Geben Sie eine Beschreibung, die betroffene Komponente, Schritte zum Nachvollziehen, die Auswirkungen sowie Ihre Versionen von PNLCS, Laravel, PHP und MySQL an. Entfernen Sie Zugangsdaten und Kundendaten. Ein PGP-Schlüssel ist auf Anfrage erhältlich.

Sie können auch die vertrauliche Schwachstellenmeldung von GitHub nutzen.Auf GitHub melden

Bitte eröffnen Sie für einen Sicherheitsfund kein öffentliches Issue, keine Discussion und keinen Forumsbeitrag.

Was nach Ihrer Meldung passiert

48 StundenEingangsbestätigungSie erfahren, dass die Meldung angekommen ist.

5 WerktageErsteinschätzungEine erste Bewertung und eine Einstufung des Schweregrads.

WöchentlichStatusmeldungenBei kritischen Problemen früher.

14 TageFix veröffentlichtIn der Regel, bei kritischen Problemen, gerechnet ab der Bestätigung.

90 TageOffenlegungDas Standardfenster, verhandelbar.

Im Geltungsbereich

Die Anwendung: Admin-Bereich, Kundenbereich, API, Queue-Worker, geplante Jobs
Authentifizierung, Rollen, Sitzungen und Tokens
Integrationen von Zahlungsanbietern, Registraren und Servern
Templates und Views in den mitgelieferten Themes
Installations- und Upgrade-Skripte, die aus dem Repository veröffentlicht werden

Außerhalb des Geltungsbereichs

Angriffe, die physischen oder root-gleichwertigen Zugriff erfordern
Fehler in Paketen Dritter: Bitte melden Sie diese beim jeweiligen Projekt
Self-XSS oder fehlende Header ohne realen Angriffsweg
Ausgaben automatischer Scanner ohne nachgewiesene Auswirkung
Die von Panelica betriebenen Demo- und Sandbox-Installationen
Forks und veränderte Kopien

In jeder Installation eingebaut

Was PNLCS tut, um eine Installation sicher zu halten. Die Checkliste zeigt, was Sie nach der Installation prüfen sollten.

Sicherheits-Checkliste

Rollenbasierter Zugriff46 fein abgestufte Berechtigungen für Mitarbeiter. Ein API-Schlüssel handelt mit der Rolle seines Mitarbeiterkontos.

Zwei-Faktor-AuthentifizierungFür Mitarbeiter und Kunden, mit Wiederherstellungscodes für Mitarbeiter.

RatenbegrenzungAnmeldung, Zwei-Faktor-Codes, Passwort-Zurücksetzung und Bestätigungs-E-Mails.

AktivitätsprotokollJede Aktion im Admin-Bereich und über die API wird mit dem Urheber erfasst.

Abgegrenzte Hosting-WerkzeugeJede Datei-, DNS-, Cron- und Backup-Aktion wird gegen die eigenen Domains des Kunden geprüft.

Abgesicherte ProvisionierungAuf Proxmox VE handelt PNLCS nur an Maschinen, die es selbst erstellt und markiert hat.

Hall of Fame

Sie haben einen Fehler vertraulich gemeldet und uns die Zeit gegeben, zuerst einen Fix zu veröffentlichen. Danke.

Santosh Kumar Puppala2026-10-04Eine API-Anfrage mit gültiger Kennung und ohne Secret wurde akzeptiert. Behoben in 1.3.0.

Sam Can2026-10-13Ein Link zum Zurücksetzen des Passworts übernahm seinen Host aus der Anfrage, sodass ein gefälschter Header eine echte E-Mail auf einen fremden Server lenken konnte. Behoben in 1.15.0.

Es gibt kein bezahltes Bug-Bounty-Programm, aber Forschende werden im Advisory und im Changelog genannt und auf Wunsch hier aufgeführt. Gutgläubige Forschung, die der Richtlinie folgt, verfolgen wir nicht.