Pular para o conteúdo
Serviço de implantaçãoAgende uma conversa grátis
Segurança

Encontrou uma vulnerabilidade? Conte para a gente em sigilo.

O PNLCS cuida do faturamento, das credenciais de clientes e das integrações de pagamento de empresas de hospedagem reais. Uma falha de segurança pode afetar faturas, dados de clientes e pagamentos, e tratamos cada relato com essa seriedade.

Informar uma vulnerabilidade Política de segurança completa

Escreva para [email protected]

Inclua uma descrição, o componente afetado, os passos para reproduzir, o impacto e as suas versões do PNLCS, Laravel, PHP e MySQL. Oculte credenciais e dados de clientes. Uma chave PGP está disponível mediante pedido.

Você também pode usar o relato privado de vulnerabilidades do GitHub.Informar no GitHub

Não abra uma issue, discussão ou tópico no fórum público para uma falha de segurança.

O que acontece depois do relato

  1. 48 horasConfirmaçãoVocê recebe a confirmação de que o relato chegou.
  2. 5 dias úteisTriagemUma primeira avaliação e uma classificação de gravidade.
  3. SemanalAtualizações de statusCom mais frequência em casos críticos.
  4. 14 diasCorreção publicadaNormalmente, para casos críticos, contados a partir da confirmação.
  5. 90 diasDivulgaçãoO prazo padrão, negociável.

No escopo

  • A aplicação: área administrativa, área do cliente, API, workers de filas, tarefas agendadas
  • Autenticação, funções, sessões e tokens
  • Integrações de gateways de pagamento, registradores e servidores
  • Templates e views dos temas incluídos
  • Scripts de instalação e atualização publicados a partir do repositório

Fora do escopo

  • Ataques que exigem acesso físico ou equivalente a root
  • Falhas em pacotes de terceiros: informe-as ao projeto de origem
  • Self-XSS, ou cabeçalhos ausentes sem um caminho real de ataque
  • Saídas de scanners automáticos sem impacto demonstrado
  • As instalações de demo e de testes mantidas pela Panelica
  • Forks e cópias modificadas

Incluído em toda instalação

O que o PNLCS faz para manter uma instalação segura. O checklist mostra o que conferir depois de instalar.

Checklist de segurança
Acesso por função46 permissões detalhadas para a equipe. Uma chave de API age com a função da conta da equipe a que pertence.
Autenticação em dois fatoresPara equipe e clientes, com códigos de recuperação para a equipe.
Limite de requisiçõesLogin, códigos de dois fatores, redefinição de senha e e-mails de verificação.
Log de atividadesToda ação na área administrativa e pela API é registrada com quem a fez.
Ferramentas de hospedagem restritasToda ação de arquivo, DNS, cron e backup é verificada contra os domínios do próprio cliente.
Provisionamento protegidoNo Proxmox VE, o PNLCS só atua em máquinas que ele mesmo criou e marcou.

Hall da fama

Eles relataram uma falha em sigilo e nos deram tempo para publicar a correção primeiro. Obrigado.

Santosh Kumar PuppalaUma requisição de API com um identificador válido e sem o segredo era aceita. Corrigido na 1.3.0.
Sam CanUm link de redefinição de senha pegava o host da requisição, então um cabeçalho forjado podia apontar um e-mail legítimo para outro servidor. Corrigido na 1.15.0.
Não há programa de recompensa pago, mas os pesquisadores recebem crédito no aviso de segurança e no changelog, e aparecem aqui se quiserem. Não tomaremos medidas contra pesquisas de boa-fé que sigam a política.