Koordinierte Schwachstellenmeldung für ForePath, Agenstra und Decabill
Diese Richtlinie zur Meldung von Schwachstellen („Richtlinie“) gilt für die koordinierte Schwachstellenmeldung zwischen IPvX UG (haftungsbeschränkt) („wir“, „uns“) und Ihnen in Bezug auf jedes von uns veröffentlichte Softwareprodukt, einschließlich ForePath (forepath.io), Agenstra (agenstra.com), Decabill (decabill.com) sowie Software, die im Monorepo forepath/one bereitgestellt wird, und definiert unsere Richtlinie zur koordinierten Schwachstellenmeldung („CVD“) gemäß Anhang I Teil II Nr. 5 der Verordnung (EU) 2024/2847 (Cyber Resilience Act).
Wir bieten eine koordinierte Schwachstellenmeldung für die unten aufgeführten Produkte, Dienste und Forschungsaktivitäten. Diese Richtlinie unterscheidet, was Sie testen dürfen und was nicht. Beschränken Sie Tests auf Ziele und Methoden innerhalb des Geltungsbereichs. Wenn Sie ein Problem in etwas finden, das wir nicht betreiben, melden Sie es stattdessen bei dem jeweiligen Anbieter. Aktivitäten außerhalb des Geltungsbereichs sind nach dieser Richtlinie nicht autorisiert.
Wenn Sie eine Sicherheitslücke gefunden haben, nutzen Sie bitte einen der privaten Kanäle unten. Melden Sie keine Sicherheitslücken als öffentliche GitHub-Issues.
Webformular
Bitte nutzen Sie das Meldeformular weiter unten auf dieser Seite.
Unsere Kontaktdaten zur automatisierten Auffindung finden Sie auch unter /.well-known/security.txt (RFC 9116).
Wenn Sie verschlüsselte E-Mails bevorzugen, nutzen Sie bitte unseren öffentlichen OpenPGP-Schlüssel unter /.well-known/pgp-key.txt (Fingerprint 5B20 C75D E760 91CE FE8B 3CA5 2926 E9F2 4F3D 9191).
Damit wir das Problem schnell bewerten und beheben können, geben Sie bitte möglichst viel von dem Folgenden an.
Wenn Sie eine Meldung senden, streben wir an, den Eingang innerhalb von 48 Stunden zu bestätigen. Nach der Bestätigung arbeiten wir auf die folgenden Ziele zur Behebung hin. Das sind Ziele nach bestem Bemühen, und komplexe Fälle können länger dauern.
Kritisch
Hoch
Mittel
Niedrig
Wir streben in der Regel ein koordiniertes Offenlegungsfenster von 90 Tagen an, sobald ein Fix verfügbar ist und bestätigt wurde. Wir können die öffentliche Offenlegung verzögern, wenn das Risiko aktiver Ausnutzung oder unvollständiger Patch-Adoption den Nutzen einer sofortigen Veröffentlichung überwiegt. Diese enge Verzögerung entspricht Anhang I Teil II Nr. 4 der CRA.
Wenn Sie Sicherheitsforschung in gutem Glauben durchführen, diese Richtlinie befolgen, Datenschutzverletzungen, Dienststörungen und Datenzerstörung vermeiden und Ihre Funde privat melden, bevor Sie sie öffentlich machen, werden wir wegen dieser Forschung keine rechtlichen Schritte gegen Sie einleiten. Dieser Safe Harbor berechtigt nicht zu Zugriffen über das hinaus, was zur Demonstration einer Schwachstelle erforderlich ist. Er verzichtet auch nicht auf Ansprüche wegen Verhaltens außerhalb dieser Richtlinie.
ForePath betreibt kein offizielles Bug-Bounty-Programm. Es gibt keine veröffentlichten Belohnungsstufen, Drittanbieter-Bounty-Plattformen oder garantierten Auszahlungen für Agenstra, Decabill oder andere Produkte in diesem Repository. Bitte reichen Sie keine Meldungen in Erwartung einer Belohnung ein.
Wir begrüßen weiterhin gültige, verantwortungsvoll gemeldete Schwachstellen mit klarer Beschreibung, nachgewiesenem Impact und reproduzierbaren Schritten. Wir können nach unserem alleinigen Ermessen Anerkennung oder Vergütung für besonders wertvolle Funde anbieten, aber keine Belohnung ist zugesichert oder geschuldet, und frühere Zahlungen begründen keinen Präzedenzfall.
Automatisierte und wenig aufwendige Meldungen werden ohne Prüfung verworfen. Ausgabe von Massenscannern, doppelte Vorlagenmeldungen und klar KI-generierte Berichte ohne manuelle Verifikation und eigene Analyse werden sofort abgelehnt. Bitte investieren Sie Zeit in einen verifizierten Fund, bevor Sie uns kontaktieren.
Indem wir diese Richtlinie bereitstellen, erfüllen wir die Verpflichtung zur koordinierten Schwachstellenmeldung in Anhang I Teil II Nr. 5 der Verordnung (EU) 2024/2847. Aktiv ausgenutzte Schwachstellen und schwere Vorfälle werden intern eskaliert, damit wir die Meldung nach Artikel 14 an das zuständige CSIRT und ENISA erfüllen können. Das umfasst die Frühwarnung, die Meldung und den Abschlussbericht. Unser Operator-Runbook regelt die interne Eskalation. Diese betrieblichen Details veröffentlichen wir hier nicht.
Sobald ein Fix veröffentlicht ist, stellen wir öffentliche Advisories und Software Bills of Materials bereit, damit Sie nachvollziehen können, was sich geändert hat und was in jedem Build enthalten ist.
Bitte nutzen Sie dieses Formular, um eine private Meldung an unser Sicherheitsteam zu senden. Wir streben an, jede Meldung innerhalb von 48 Stunden zu bestätigen.