Reportando problemas de segurança

Nós do time GOVBR-DS, juntamente com a comunidade, levamos segurança muito a sério.

Para vulnerabilidades que possam expor usuários, credenciais ou dados, use o formulário privado de vulnerabilidade do GitLab. Não publique detalhes sensíveis em issues, merge requests ou no Discord.

Para problemas que não sejam sensíveis, abra uma issue no rastreador público do projeto.

Escopo e prazos

Aplicamos correções de segurança à versão major suportada e avaliamos exceções para versões anteriores conforme o impacto. Após o recebimento de um relato privado, o time pretende:

• confirmar o recebimento em até 3 dias úteis;
• classificar a severidade e informar o próximo passo em até 10 dias úteis;
• corrigir ou publicar um plano para vulnerabilidades críticas em até 7 dias, altas em até 30 dias e demais casos em até 90 dias, conforme a complexidade.

Esses prazos são objetivos operacionais, não uma garantia de correção sem dependências externas. A divulgação pública será coordenada com quem reportou, depois que houver correção ou mitigação disponível. Não envie tokens, senhas ou dados pessoais além do necessário para reproduzir o problema.