发送邮件至 [email protected]
请附上问题描述、受影响的组件、复现步骤、影响范围，以及你的 PNLCS、Laravel、PHP 和 MySQL 版本。请隐去任何凭据或客户数据。如需 PGP 公钥，可向我们索取。
你也可以使用 GitHub 的私密漏洞报告功能。在 GitHub 上报告
请不要为安全问题创建公开的 Issue、讨论或论坛帖子。
报告之后会发生什么
- 48 小时确认收到你会收到报告已送达的回复。
- 5 个工作日初步评估给出初步评估和严重等级。
- 每周进度更新严重问题会更快。
- 14 天发布修复严重问题通常如此，从确认之日起计算。
- 90 天公开披露默认期限，可以商量。
范围内
- 应用本身：管理后台、客户中心、API、队列进程、计划任务
- 身份验证、角色、会话和令牌
- 支付网关、域名注册商和服务器集成
- 内置主题中的模板和视图
- 从仓库发布的安装和升级脚本
范围外
- 需要物理访问或等同 root 权限的攻击
- 第三方软件包中的缺陷：请向上游报告
- Self-XSS，或没有实际攻击路径的缺失响应头
- 没有证明实际影响的自动扫描结果
- Panelica 运营的演示和沙盒安装
- 分支和修改过的副本
每个安装都内置
PNLCS 为保护安装所做的工作。安装后需要检查的事项，请看安全清单。
基于角色的访问控制为员工提供 46 项细粒度权限。API 密钥按其员工账户的角色执行操作。
双因素认证员工和客户均可使用，员工还有恢复码。
频率限制登录、双因素验证码、密码重置和验证邮件。
活动日志管理后台和 API 中的每一项操作都会记录操作人。
受限的主机工具每一项文件、DNS、计划任务和备份操作都会按客户自己的域名进行检查。
受保护的自动开通在 Proxmox VE 上，PNLCS 只对自己创建并标记过的机器执行操作。
名人堂
他们私下报告了缺陷，并给了我们先发布修复的时间。谢谢。
我们没有付费的漏洞赏金计划，但研究者会在安全公告和变更日志中署名，如果愿意，也会列在这里。对于遵守本政策的善意研究，我们不会追究。