| Version | Unterstützt |
|---|---|
main |
Ja |
Ältere Branches erhalten keine Sicherheitsupdates.
Bitte melde Sicherheitslücken nicht öffentlich als GitHub-Issue.
Sende stattdessen eine vertrauliche E-Mail an:
Bitte gib folgende Informationen an:
- Beschreibung der Schwachstelle
- Betroffene Komponente / Datei / Endpunkt
- Schritte zur Reproduktion
- Mögliche Auswirkungen
- Ggf. ein Proof-of-Concept (kein aktiver Exploit)
| Schritt | Ziel |
|---|---|
| Eingangsbestätigung | ≤ 48 Stunden |
| Erstbewertung | ≤ 5 Werktage |
| Fix / Workaround | nach Schweregrad |
| Öffentliche Bekanntmachung | nach Abstimmung mit dem Melder |
In Scope:
planner-api– REST-Endpunkte, Authentifizierung, Datenbankzugriffeplanner-frontend– XSS, CSRF, unsichere Eingabenshared-schemas– fehlerhafte Validierung mit Zodinterop-cad/interop-sketchup– Datei-Parser (z. B. Path Traversal, DoS durch bösartige Dateien)
Out of Scope:
- Abhängigkeiten in
node_modules(bitte direkt beim jeweiligen Paket melden) - Theoretische Schwachstellen ohne reproduzierbaren Nachweis
- Social Engineering
Wer eine Sicherheitslücke verantwortungsvoll meldet, wird nach Absprache in der Release-Note namentlich erwähnt.
Diese Richtlinie steht unter der Apache License 2.0.