Нашли уязвимость? Сообщите нам конфиденциально.
PNLCS отвечает за биллинг, учётные данные клиентов и платёжные интеграции настоящих хостинг-компаний. Дефект безопасности может затронуть счета, данные клиентов и платежи, и мы относимся к каждому сообщению именно так.
Напишите на [email protected]
Укажите описание, затронутый компонент, шаги для воспроизведения, последствия и версии PNLCS, Laravel, PHP и MySQL. Скройте любые учётные данные и данные клиентов. Ключ PGP предоставляется по запросу.
Можно также воспользоваться конфиденциальным сообщением об уязвимости на GitHub.Сообщить на GitHub
Пожалуйста, не открывайте публичный issue, обсуждение или тему на форуме из-за проблемы безопасности.
Что происходит после сообщения
- 48 часовПодтверждениеВы получаете ответ, что сообщение дошло.
- 5 рабочих днейОценкаПервичный анализ и уровень серьёзности.
- ЕженедельноНовости о статусеЧаще для критических проблем.
- 14 днейВыпуск исправленияОбычно для критических проблем, считая с момента подтверждения.
- 90 днейРаскрытиеСрок по умолчанию, его можно обсудить.
Входит в область
- Приложение: панель администратора, кабинет клиента, API, обработчики очереди, задания по расписанию
- Аутентификация, роли, сеансы и токены
- Интеграции с платёжными шлюзами, регистраторами и серверами
- Шаблоны и представления встроенных тем
- Скрипты установки и обновления, опубликованные из репозитория
Не входит в область
- Атаки, требующие физического доступа или доступа уровня root
- Дефекты в сторонних пакетах: сообщайте о них их авторам
- Self-XSS или отсутствующие заголовки без реального сценария атаки
- Вывод автоматических сканеров без доказанных последствий
- Демо- и тестовые установки, которые обслуживает Panelica
- Форки и изменённые копии
Встроено в каждую установку
Что PNLCS делает, чтобы установка была защищена. Что проверить после установки, описано в чек-листе.
Зал славы
Они сообщили о дефекте конфиденциально и дали нам время сначала выпустить исправление. Спасибо.