Reportar uma vulnerabilidade

O PEART é uma ferramenta de segurança que hospeda dados de vulnerabilidade de terceiros. Os relatos são levados a sério e respondidos rápido. A política autoritativa é o SECURITY.md no repositório; este é o resumo voltado ao leitor.

Como relatar

Use o canal privado de aviso de segurança do GitHub, Security → Report a vulnerability, no repositório. Se preferir e-mail, escreva para mentesan@gmail.com.

Não abra issue pública para vulnerabilidade. Relatos não são discutidos publicamente antes de haver correção disponível. Inclua, na medida do possível, a versão afetada, uma descrição do impacto, os passos de reprodução e a pior consequência realista que você enxerga. Uma prova de conceito ajuda, mas não é obrigatória.

O que esperar

Etapa	Prazo alvo
Confirmação de recebimento	3 dias úteis
Avaliação inicial e classificação	10 dias úteis
Correção, ou plano de correção com data	45 dias corridos
Divulgação pública coordenada	Após a correção estar disponível

Se você não tiver retorno dentro do prazo de confirmação, insista pelo outro canal antes de considerar divulgação unilateral. Um aviso publicado acompanha toda vulnerabilidade corrigida que afetou uma versão lançada, e quem relatou é creditado salvo pedido em contrário; um CVE é solicitado para vulnerabilidades com impacto real de segurança numa versão lançada.

Escopo

No escopo: qualquer falha no código deste repositório, nos artefatos de deploy publicados, ou na configuração padrão que o projeto entrega.

Fora do escopo, porque são limitações declaradas no docs/security.md seção 13: o banco ficar em texto claro, com a cifragem de disco no host a cargo do operador; o sistema não se defender do operador do host nem do administrador da instalação; a ausência de proteção contra negação de serviço volumétrica, que cabe ao proxy reverso e à infraestrutura; endurecimento de sistema operacional, TLS, firewall e rede; e o comportamento de uma instalação que desabilitou controles padrão por configuração explícita. Um relato mostrando que uma dessas é pior do que declarado é bem-vindo, e é tratado no mínimo como falha de documentação.