Avisar de un fallo de seguridad

Kosmotheka guarda el catálogo de una casa y quién puede cambiarlo. Si encuentras una forma de leer o cambiar datos que no deberías, de hacerte pasar por un dispositivo o de saltarte las reglas de permisos, avísanos en privado antes que a nadie.

Cómo avisar

No abras un issue público. Un fallo contado en público lo puede aprovechar cualquiera antes de que haya arreglo.

Usa el aviso privado de GitHub:

1. Entra en el repositorio del proyecto, en la pestaña Security.
2. Pulsa Report a vulnerability.
3. Escribe el aviso. Solo lo ve quien mantiene el proyecto.

El SECURITY.md del repositorio dice lo mismo, en inglés.

Qué contar

Cuanto más concreto sea, antes se arregla:

• Qué puede hacer quien ataca, y qué necesita antes: estar en la misma red, tener un dispositivo emparejado, tener una cuenta, tener un rol determinado.
• Los pasos para reproducirlo.
• La versión de la app o, si es del servidor, el commit.
• Si ya sabes cómo se arreglaría, dilo.

Para saber qué consideramos un fallo y qué es una limitación conocida, mira Seguridad: el modelo de amenazas, sobre todo el apartado «Lo que no protege».

Qué esperar

Es un proyecto que se mantiene en el tiempo libre. A cambio:

• Recibirás respuesta en un máximo de 7 días.
• Un fallo grave pasa por delante de cualquier otro trabajo.
• Te mencionaremos en las notas de la versión, a no ser que prefieras que no.

Qué versiones tienen arreglo

Solo la última versión de la app y la rama main del servidor reciben arreglos de seguridad.

Qué cubre

• La app (escritorio y Android), su sincronización local entre dispositivos y el formato de operaciones de spec/.
• El servidor de server/.

Un servidor que aloja otra persona lo administra esa persona. Si el problema está en una instalación concreta y no en este código, díselo a quien la administra. Si está en nuestro código, avísanos a nosotros.

Prueba siempre en tu propia instalación, no en el servidor de otra persona.