سياسة الأمان والإفصاح عن الثغرات
نرحب بالبلاغات عن الثغرات في Fendix. توضح هذه الصفحة ما يدخل في النطاق، وكيف تبلّغ بشكل خاص، وما يحدث بعد ذلك، والقواعد التي نطلب من الباحثين اتباعها.
كيف تبلّغ
أرسل البلاغ بشكل خاص — يُرجى عدم فتح مشكلة عامة في GitHub. استخدم القناة التالية:
ضمّن في بلاغك
- المكوّن المتأثر (ملف CLI التنفيذي، أو محرك Python، أو مسار الإصدار، أو مساحة العمل المستضافة، أو الموقع) والإصدار (fendix version).
- خطوات إعادة الإنتاج أو إثبات مفهوم مختصر.
- تقديرك للأثر: ما الذي يستطيع المهاجم قراءته أو تغييره أو منعه، وما الصلاحيات التي يحتاجها.
- هل تنوي نشر تقرير مكتوب، ومتى.
ماذا يحدث بعد ذلك
- تأكيد الاستلام خلال 72 ساعة.
- رد بالفرز خلال 7 أيام: قبول مع الخطوات التالية، أو رفض مع سبب مكتوب.
- تحصل البلاغات المقبولة على إصلاح وخطة إصدار نتفق عليها معك. ونهدف إلى النشر خلال 14 يومًا من اعتماد الإصلاح، ويمكنك طلب مهلة أطول إن احتاج التنسيق مع أطراف أخرى إلى ذلك.
- تُنشر ثغرات المحرك المقبولة كتنبيه أمني في GitHub، مع طلب معرّف CVE عبر GitHub متى استوفت الثغرة شروطه، إلى جانب إصدار مُصحَّح وقسم Security في سجل التغييرات. وتصدر الإصلاحات على خط الإصدارات الحالي، وعلى الخط السابق للثغرات الحرجة (راجع الإصدارات المدعومة).
- يُنسب الفضل لمقدّمي البلاغات ما لم يطلبوا عدم ذكر أسمائهم.
النطاق
ضمن النطاق
- أداة fendix CLI ومحرك Python الخاص بها، المبنيان من github.com/Fendix-app/Fendix.
- مسار الإصدار ومخرجاته: الملفات التنفيذية الموقّعة، وصور Docker، ومستودع Homebrew، والمثبّت على get.fendix.dev.
- مساحة العمل المستضافة وواجهتها البرمجية (api.fendix.dev)، وهذا الموقع (www.fendix.dev).
- طرق تجعل الفاحص النشط يتجاوز حدود الأمان الموثّقة له.
خارج النطاق
- النتائج التي تُنتجها Fendix على أهداف تابعة لجهات أخرى — أبلغ بها مورّد الهدف.
- المشكلات التي تتطلب أن يتحكم المهاجم مسبقًا بالجهاز الذي يشغّل CLI.
- إيقاف CLI بمدخلات محلية ضخمة أو تالفة: خلل يستحق الإبلاغ، لكنه ليس مشكلة أمنية.
- هجمات حجب الخدمة الحجمية، وغياب ترويسات أو إعدادات موصى بها دون أثر مُثبت.
قواعد البحث الأمني
- اختبر على حساباتك وبياناتك فقط. توقف وأبلغ فور تمكّنك من الوصول إلى بيانات ليست لك، ولا تحتفظ بها أو تشاركها.
- لا حجب للخدمة، ولا اختبارات تدميرية، ولا رسائل مزعجة، ولا هندسة اجتماعية تستهدف فريق Fendix أو مستخدميها.
- لا تشغّل الاختبارات النشطة في Fendix إلا على أهداف تملكها أو لديك إذن مكتوب باختبارها.
- احجب بيانات الاعتماد والبيانات الشخصية فيما ترسله إلينا.
- امنحنا فرصة معقولة لإصلاح المشكلة قبل الإفصاح عنها علنًا.
الإصدارات المدعومة
يحصل آخر إصدارين فرعيين من المحرك على إصلاحات أمنية: إصلاحات كاملة للإصدار الفرعي الحالي، وإصلاحات حرجة فقط للإصدار السابق. والإصدارات الأقدم انتهى دعمها — قم بالترقية إلى الإصدار الحالي.
برنامج مكافآت الثغرات
لا تدير Fendix حاليًا برنامج مكافآت مدفوعة للثغرات.
فحوص Fendix آمنة افتراضيًا: الاختبارات النشطة التي ترسل حمولات هجومية اختيارية وتتطلب تفعيلًا صريحًا.