سياسة الإفصاح عن الثغرات
نستقبل البلاغات عن الثغرات في موقع «رائد» وفي البرمجيات والخدمات العربية التي لا تشملها جهة مرقّمة أخرى، وننسق مع المورّد حتى يصدر الإصلاح ثم ننشر.
كيف تبلغ
أسهل طريق هو بوابة البلاغات، فهي تجهّز البلاغ المنظم بالعربية ثم ترسله عبر الإبلاغ الخاص في GitHub أو البريد site@hotmail.com، ولا يمر البلاغ بأي خادم لـ«رائد»، ولا ترسل بيانات شخصية لأحد حصلت عليها أثناء البحث.
ما نلتزم به
- نؤكد استلام البلاغ خلال ثلاثة أيام عمل.
- نقيّم البلاغ ونرد بقرارنا خلال عشرة أيام عمل.
- نتواصل مع المورّد وننسق معه موعد الإصلاح، ونطلع المبلّغ على كل تقدم.
- ننشر بعد صدور الإصلاح أو بعد تسعين يوماً من البلاغ أيهما أقرب، وقد نقدم النشر إن ثبت استغلال الثغرة فعلياً.
- ننشر سجل CVE خلال 24 ساعة من إعلان رقم الثغرة.
- ننسب الاكتشاف إلى المبلّغ باسمه أو بالاسم الذي يختاره، ما لم يطلب إغفاله، ونضيفه إلى قاعة الشرف.
البحث بحسن نية
لا نتخذ أي إجراء ضد من يبحث في موقعنا بحسن نية ويلتزم بهذه السياسة، أي يتجنب تعطيل الخدمة والاطلاع على بيانات غيره ويمنحنا الوقت الكافي للإصلاح قبل النشر، أما البحث في منتجات الآخرين فيخضع لسياساتهم وللأنظمة في بلد الباحث.
الترقيم
نطلب رقم الثغرة من الجهة المرقّمة المختصة بالمنتج، أو من الجهة المرقّمة الأخيرة إن لم توجد جهة مختصة، ونذكر الرقم في النشرة حين يُنشر السجل.
أين تصدر النشرات
تصدر نشرات «رائد» في صفحة النشرات بالعربية والإنجليزية، ولكل نشرة سجل بصيغة CVE JSON 5 يحمل الوصفين معاً.