Biztonsági hiba bejelentése

A biztonsági problémákat a fejlesztők kiemelten kezelik. Két bejelentési út van: az egyik a Gravity Forms ügyfeleinek szól, a másik a kódban sebezhetőséget találó kutatóknak.

Ügyfelek: biztonsági probléma bejelentése

Mit ellenőrizz bejelentés előtt?

1. A Gravity Forms legyen a legfrissebb verzión. Lehet, hogy régi kiadást futtatsz, és a hibát egy újabb már kijavította. A fejlesztők arra törekednek, hogy az új kiadások a meglévő megoldásokkal kompatibilisek maradjanak, ezért a frissítés ritkán okoz gondot.
2. Minden kiegészítő legyen frissítve, hivatalos és külső egyaránt. A kiegészítők frissen tartása ugyanolyan fontos, mint a fő bővítményé.

A bejelentés menete

Ha biztos vagy abban, hogy a probléma jelenleg is fennáll, jelezd minél előbb:

1. Gyűjts össze minél több információt: mi érintett, és mi a lehetséges kihasználás. A részletes adatok gyorsítják a javítás kiadását.
2. Nyiss támogatási jegyet, és a tárgyban egyértelműen írd meg, hogy biztonsági problémát jelentesz.
3. A bejelentés beérkezését a fejlesztők a lehető leggyorsabban visszaigazolják.

Ha azt gyanítod, hogy az oldalad megsérült, a Mit tegyél, ha az oldalad feltörték fejezetben találsz teendőket.

Biztonsági kutatók: adatok a bejelentéshez

Ha sebezhetőséget találtál egy termékben vagy kiegészítőben, gyűjts össze minél több információt, hogy gyorsan lehessen reagálni. Ez a rész nem ügyfeleknek szól.

Adat	Mit írj bele
Súlyosság	Magas, közepes vagy alacsony.
A sebezhetőség típusa	Például DoS, túlcsordulás, XSS vagy CSRF.
A kihasználáshoz kell hitelesítés?	Igen vagy nem.
Érintett verziók	A Gravity Forms (vagy a kiegészítő) érintett verziói.
Leírás	A sebezhetőség leírása.
Aktív kihasználás	Jelezd, ha okod van azt hinni, hogy a sebezhetőséget már kihasználják.
Nyilvános kihasználási részletek	Jelezd, ha a kihasználás részletei nyilvánosan elérhetők, és add meg a webcímet.
Lehetséges hatás	Mi lehet a következménye, és hogyan képzeled el egy támadásban?
DREAD pontszám	Ha ismert.
CVE-azonosító, hivatkozás vagy tanácsadói szám	Ha van.
Elismerés és közzététel időzítése	Jelezd, ha szeretnéd, hogy a felelős bejelentőként a neved szerepeljen a kiadási közleményben és a változásnaplóban. Ha te is közzéteszed a részleteket, add meg az időpontot, hogy egyeztetni lehessen.
Egyéb megjegyzés	Bármi más, amit tudni érdemes.

A részleteket a gyártó biztonsági e-mail-címére kell elküldeni. A beérkezést visszaigazolják, megerősített hibánál javítást ütemeznek, és tájékoztatnak a tervezett kiadásról.

Példa bejelentésre

Közepes súlyosságú, visszaverődő XSS-t jelentek a Gravity Forms 2.9.0 és 2.9.3 közötti verzióiban. Egy űrlapmező címkéje nincs megfelelően escape-elve, ezért egy kialakított URL-paraméter szkriptet injektálhat, amely bármely látogató böngészőjében lefut. A kihasználáshoz nem kell hitelesítés.

Aktív kihasználásra és nyilvános részletekre jelenleg nincs bizonyíték. A lehetséges hatás: adathalászattal egy kialakított hivatkozás ellophatja egy bejelentkezett rendszergazda munkamenet-sütijét, és fiókátvételhez vezethet. A DREAD pontszám becslésem szerint 6,4 (közepes), CVE-azonosítót még nem kapott.

Szeretném, ha a nevemet feltüntetnék. A javítás kiadása után 90 nappal tervezem közzétenni az ismertetőmet, vagy korábban, közös megegyezéssel. Kérésre szívesen küldök bemutató videót.