Wenn Sie eine Sicherheitslücke in Geist oder einem von uns betriebenen Dienst vermuten, melden Sie sie vertraulich. Eröffnen Sie kein öffentliches Issue.
Nutzen Sie die folgende Adresse für vermutete Sicherheitslücken. Senden Sie keine Zugangsdaten, personenbezogenen Daten oder sachfremden Produktionsdaten.
Diese Richtlinie gilt für den aktuellen Produktionsdienst und Code, den Geist betreibt oder pflegt.
Tests sind nur autorisiert, solange Sie diese Regeln und geltendes Recht einhalten.
Eine knappe, vollständige Meldung erreicht schneller die richtige verantwortliche Person.
Wir halten Sie auf dem Laufenden, während wir die Meldung prüfen und die Sicherheitslücke beheben.
Wir bestätigen den Eingang und senden eine Referenz zur Nachverfolgung.
Wir bewerten Geltungsbereich, Schweregrad, Reproduzierbarkeit und betroffene Verantwortliche.
Wir teilen relevante Fortschritte oder erklären, was noch untersucht wird.
Wir priorisieren Ausnutzbarkeit und Auswirkung. Vor der Bewertung versprechen wir keinen festen Behebungstermin.
Wenn Sie in gutem Glauben handeln, diese Richtlinie einhalten und sich angemessen bemühen, Schäden zu vermeiden, behandeln wir Ihre Forschung im Rahmen dieser Richtlinie als autorisiert und leiten deswegen keine rechtlichen Schritte ein. Dies autorisiert kein Verhalten, das gegen geltendes Recht verstößt oder Systeme außerhalb unserer Kontrolle betrifft.
Geben Sie uns bitte eine angemessene Gelegenheit zur Untersuchung und Bereitstellung einer Korrektur, bevor Sie Details veröffentlichen. Wir stimmen Zeitpunkt und Umfang der Offenlegung mit Ihnen ab, nennen Sie auf Wunsch und verwenden gegebenenfalls ein öffentliches Advisory oder eine CVE.
Senden Sie nur die für die Bewertung erforderlichen Nachweise. Wir beschränken den Zugriff auf Meldungen und können relevante Details an Dienstleister oder betroffene Anbieter weitergeben, wenn dies für Untersuchung und Behebung erforderlich ist.
Senden Sie dem Security-Kontakt eine E-Mail mit dem betroffenen Ziel und den Reproduktionsschritten.