Coordinated vulnerability disclosure
← Polisïau

GitLab: Polisi Datgelu Cyfrifol

Anfonwch e-bost at security@gitlab.com i adrodd am unrhyw wendidau diogelwch. Byddwn yn cydnabod ein bod wedi cael eich adroddiad gwendid y diwrnod gwaith nesaf ac yn ymdrechu i anfon diweddariadau rheolaidd atoch am ein cynnydd. Os ydych yn chwilfrydig am statws eich datgeliad, mae croeso i chi anfon e-bost atom eto. Os ydych am amgryptio eich e-bost datgelu, anfonwch e-bost atom i ofyn am ein allwedd PGP.

Fel arall, gallwch hefyd anfon eich adroddiad atom drwy HackerOne.

Peidiwch â gofyn am iawndal am adrodd am wendidau. Os dymunwch, byddwn yn cydnabod yn gyhoeddus eich datgeliad cyfrifol. Rydym hefyd yn ceisio gwneud y mater cyfrinachol yn gyhoeddus ar ôl i'r gwendid gael ei gyhoeddi, am enghraifft gweler ein mater nodwedd dynwared. Mae HackerOne hefyd yn gwneud yr adroddiadau gwallau yn gyhoeddus ar ôl 30 diwrnod os nad oes gwrthwynebiad gan y naill barti na'r llall, am enghraifft gweler yr adroddiad ar gyfer XSS parhaus ar dudalen prosiect cyhoeddus.

Ni chaniateir i chi chwilio am wendidau ar GitLab.com ei hun. Meddalwedd ffynhonnell agored yw GitLab, gallwch osod copi eich hun a phrofi yn ei erbyn. Gallwch lawrlwytho naill ai CE, EE, neu'r GitLab Development Kit. Os ydych am brofi heb sefydlu GitLab eich hun, cysylltwch â ni i drefnu mynediad i weinydd llwyfannu (staging).

Gallwch ddod o hyd i ragor o fanylion ynglŷn â sut rydym yn ymdrin â rhyddhau diogelwch yma.

Ar ein gwefan gallwch ddarganfod mwy am argaeledd a diogelwch GitLab.com. Gellir gweld materion diogelwch nad ydynt yn wendidau ar ein holrhain materion cyhoeddus.

Materion cyfrinachol

Pan fydd gwendid yn cael ei ddarganfod rydym yn creu mater cyfrinachol i'w olrhain yn fewnol. Caiff clytiau diogelwch eu gwthio i dev.gitlab.org, nad yw'n hygyrch i'r cyhoedd, a'u cyfuno i'r gangen security. Ni ddylent ymddangos ar GitLab.com nes bod y datganiad diogelwch wedi'i gyhoeddi a bod pecynnau wedi'u diweddaru ar gael.

Gellir dod o hyd i fanylion yn ein proses rhyddhau critigol.