Sicherheitslücke gefunden? Erzählen Sie es uns.
Sicherheitsforschung an Open Source ist ein Geschenk. Wir nehmen jede Meldung ernst, bestätigen den Eingang innerhalb von 3 Werktagen und behandeln Sie mit Respekt – keine Anwälte, keine Drohungen.
Wer gutgläubig forscht, bekommt von uns keine Anzeige und keine Abmahnung.
Safe Harbor: Wir verzichten bei gutgläubiger Forschung auf zivil- und strafrechtliche Schritte, auch nach § 202c StGB.
Das gilt, solange Sie
- nur im Geltungsbereich und mit eigenen Testkonten prüfen,
- keine Dienste stören und keine echten Nutzerdaten abrufen,
- die Lücke erst nach der abgestimmten Veröffentlichung nennen.
Geltungsbereich: alle mandari-Domains, das Repository mandariOSS/mandari und selbst betriebene mandari-Instanzen mit Erlaubnis der Betreiber. Im Detail
Sie sprechen mit Menschen. Kein Ticket-Bot, keine automatische Antwort: Es antworten die Menschen, die die Lücke beheben.
Wir nennen Ihren Namen. In der Hall of Fame und im Security-Advisory, auf Wunsch mit persönlichem Empfehlungsschreiben.
Was Sie testen dürfen und was nicht
Klare Grenzen schützen alle: Sie, uns und unsere Nutzer:innen.
| Bereich | Im GeltungsbereichHier freuen wir uns über Ihre Prüfung | AußerhalbBitte nicht testen |
|---|---|---|
| Systeme |
| OParl-Quellsysteme der Kommunen (nicht unser System), Dienste von Drittanbietern |
| Quellcode und Instanzen | Repository | Physische Angriffe auf Hosting-Standorte |
| Schwachstellen | Anmeldung, Sitzungsverwaltung, Rollen und Rechte; SQL-Injection, XSS, CSRF, IDOR | DoS und DDoS jeglicher Art; automatisierte Scanner ohne Rückprüfung der Treffer |
| Menschen und Daten | Eigene Testkonten | Social Engineering gegen Mitwirkende oder Nutzer:innen; echte Nutzerdaten |
Vom Befund zur behobenen Lücke
Feste Fristen nach ISO/IEC 29147, maßstäblich in Tagen. Die Uhr läuft ab dem Tag Ihrer Meldung.
-
Tag 0
Ihre Meldung geht ein
Meldung
Sie schreiben an security@mandari.de, gern PGP-verschlüsselt: Beschreibung, Nachweis, betroffene Adresse.
-
höchstens 3 Werktage
Einstufung nach CVSS 3.1 innerhalb von 7 Tagen
Eingangsbestätigung
Wir bestätigen den Eingang Ihrer Meldung. Danach folgt die Erstbewertung mit Einordnung des Schweregrads nach CVSS 3.1 – innerhalb von 7 Tagen.
-
72 Stunden, 7 Tage oder 30 Tage
je nach Schweregrad
Behebung
Wir entwickeln, testen und rollen die Korrektur aus. Einen Zwischenstand bekommen Sie spätestens nach zwei Wochen, danach laufend Statusinformationen.
- kritisch
- 72 Stunden
- hoch
- 7 Tage
- mittel
- 30 Tage
-
90 Tage nach dem Fix
früher bei bereits ausgenutzten Lücken
Koordinierte Veröffentlichung
Die Veröffentlichung stimmen wir mit Ihnen ab – vollständige Offenlegung 90 Tage nach dem Fix: Security-Advisory und, wenn Sie möchten, ein Eintrag in der Hall of Fame.
Verschlüsselt schreiben
Für vertrauliche Meldungen verwenden Sie bitte unseren PGP-Schlüssel für security@mandari.de, gültig bis Juli 2028.
Auch genannt in unserer security.txt (RFC 9116)
- Fingerabdruck zur Prüfung
- 5D06 A2BC B71C 6095 7A23 0BD8 7E96 93FD 0505 3234
Hall of Fame
Sicherheitsforscher:innen, denen wir danken: Hier ist noch Platz. Sie könnten die erste Person sein, die wir hier nennen.
Sie haben etwas gefunden?
Schreiben Sie uns – wir bestätigen den Eingang innerhalb von 3 Werktagen, koordinieren die Veröffentlichung mit Ihnen und behandeln Ihre Meldung mit dem Respekt, den sie verdient.
- security@mandari.de
- Eingangsbestätigung
- innerhalb von 3 Werktagen
- Vorfälle und Zahlen
- Transparenzbericht
- Maschinenlesbar
- security.txt