Politika prijavljivanja ranjivosti

Verzija 2026-10-12

Želimo da znamo za bezbednosne probleme u SnagBane-u. Ako mislite da ste pronašli neki, prvo nam ga poverljivo prijavite, da bismo mogli da ga ispravimo pre nego što postane javan.

Kako da prijavite

Pišite na support@snagbane.com sa „Security“ u naslovu. Navedite:

• verziju i izdanje SnagBane-a (oba prikazuje odeljak Podešavanja → Sistem i ažuriranja) i kako je instaliran (Docker, VPS, cPanel);
• šta napadač može da uradi i korake ili kratak dokaz koncepta za ponavljanje;
• da li je potreban nalog i sa kojom ulogom;
• kako biste želeli da budete navedeni, ako uopšte želite.

Molimo vas da ne otvarate javni issue niti objavljujete detalje dok ispravka ne bude dostupna. Kontakt podaci u mašinski čitljivom obliku su u /.well-known/security.txt.

Na šta se obavezujemo

• Odgovaramo u roku od 5 radnih dana da potvrdimo da smo primili vašu prijavu.
• Obaveštavamo vas najmanje na svakih 14 dana dok problem ne bude rešen.
• Težimo da ispravku za potvrđene kritične probleme objavimo u roku od 7 dana, a za ozbiljne u roku od 30 dana, ranije ako se problem već zloupotrebljava.
• Ispravku navodimo u napomenama uz izdanje ažuriranja i tamo vas navodimo ako to želite.
• Sa vama dogovaramo kada se objavljuju detalji – posle izlaska ispravke, ili 90 dana posle vaše prijave ako je do tada ne ispravimo, osim ako se drugačije ne dogovorimo.

Nemamo plaćeni bug bounty program.

Obuhvat

Obuhvaćeno: softver SnagBane (besplatan i plaćeni paketi, najnovija verzija), sajt snagbane.com i SnagBane servisi za ažuriranja i licence.

Nije obuhvaćeno: SnagBane instalacije drugih organizacija – prijavite ih organizaciji koja ih vodi; problemi za koje je potreban već kompromitovan server ili administratorski nalog; nedostajuća zaštita koju kontroliše administrator (na primer isključeno podešavanje); uskraćivanje usluge i testovi opterećenja; socijalni inženjering; i usluge trećih strana kao što su Microsoft 365, Google, Freemius ili Cloudflare.

Testiranje u dobroj veri

Testirajte na sopstvenoj instalaciji – serverski kod SnagBane-a se isporučuje u čitljivom obliku da biste mogli da ga pregledate i testirate bezbednost (ugovor o licenci, odeljak 2.3). Na našem sajtu i servisima koristite samo sopstvene naloge i uobičajen broj zahteva; ne pristupajte tuđim podacima, ne menjajte ih i ne zadržavajte ih, a čim ih vidite – stanite i prijavite. Nećemo preduzimati pravne korake protiv istraživanja sprovedenog u dobroj veri u skladu sa ovom politikom.

Posle ažuriranja

Bezbednosne ispravke izlaze kao obična ažuriranja. Administratori ih instaliraju u odeljku Podešavanja → Sistem i ažuriranja → Ažuriranja; svaki paket je potpisan i proverava se pre instalacije.