Bug Bounty Programm

Capgo ist sich der Sicherheit und Transparenz verpflichtet. Alle unsere code sind Open-Source und wir laden Sicherheitsforscher ein, uns bei der Identifizierung von Schwachstellen in unserem Codebase zu helfen.

Offene Quellcode Code

Jeder Repository in der Capgo Organisation ist Open-Source. Sie können unsere code überprüfen, auditieren und beitragen.

GitHub Organisation: github.com/Cap-go

Anforderungen für gültige Meldungen

Um für das Bug-Bounty-Programm qualifiziert zu sein, muss Ihre Meldung alle folgenden Anforderungen erfüllen:

• Sie müssen die genaue Datei und Zeilennummer in unserem GitHub-Repository angeben, an der die Schwachstelle existiert
• Ihre Meldung muss über GitHub Security Advisory auf dem relevanten Repository eingereicht werden
• Sie müssen eine klare Beschreibung der Schwachstelle und ihres potenziellen Auswirkungen bereitstellen
• Sie müssen reproduzierbare Schritte bereitstellen, um die Probleme zu demonstrieren

Antwortzeit und Respekt

Wir sind freundlich und zahlen für gültige Meldungen, aber wir können nicht mit Menschen zusammenarbeiten, die unsere Zeit nicht respektieren. Bitte bleiben Sie ruhig und folgen Sie diesem Programm.

• Wir reagieren auf Sicherheitsberichte und -verletzungen innerhalb von 24-72 Stunden.
• Bitte spam uns nicht. Mehr als drei E-Mails an einem Tag gilt als Spam und wird blockiert.
• Wir zahlen für Berichte, die diese Regeln ignorieren oder Spam sind, nicht.
• Wir akzeptieren nur Berichte, die diesem Bug-Bounty-Programm entsprechen; alles andere kann blockiert werden.
• Bitte fragen Sie nicht nach Status-Updates wie "haben Sie das überprüft?" oder ähnliche Fragen. Sobald wir bestätigen, dass wir Ihren Bericht erhalten haben, ist das genug. Danach ist noch viel Arbeit zu leisten, und die Erstellung eines Pull-Requests kann einige Tage dauern.

Wie man einen Bericht einreicht

1. Navigieren Sie zu dem relevanten Repository auf GitHub
2. Klicken Sie auf die "Sicherheit"-Registerkarte
3. Klicken Sie auf "Melden Sie eine Sicherheitslücke" und erstellen Sie ein neues Sicherheitsbericht
4. Begründen Sie die Sicherheitsauswirkungen und beschreiben Sie detailliert, wie die Sicherheitslücke reproduziert werden kann
5. Außerhalb des Rahmens

Berichte ohne genaue Zeilenreferenzen in __CAPGO_KEEP_0__

• Reports without exact code line references in GitHub
• Reports not submitted through GitHub Security Advisory
• Bugs in Dritt-Plattformen, Abhängigkeiten oder Diensten, die __CAPGO_KEEP_0__ direkt nicht beheben kann (melden Sie diese beispielsweise an Supabase)
• Bugs in third-party platforms, dependencies, or services that Capgo cannot fix directly (report those upstream, for example to Supabase).
• Dienstleistungsunterbrechungen
• SSRF- oder DNS-Spoofing-Berichte gegen Webhooks oder Website-Vorschau. Diese Funktionen laufen auf serverlosen Infrastruktur und können nicht verwendet werden, um private __CAPGO_KEEP_0__-Infrastruktur zu erreichen, daher sind sie in unserem Umfeld nicht ausnutzbar.
• Berichte, die nicht über Capgo Sicherheitsbericht eingereicht wurden
• Benutzereigene Anwendung code oder Projektkonfiguration, die Capgo nicht besitzt, versendet, kontrolliert oder einschließt, einschließlich Dateien wie capacitor.config.ts, config.capacitor.ts, Quellcode code und Umgebungsabhängige Einstellungen.
• Zugriff auf Capgo Paketdateien oder Beweis dafür, dass Paketdateien heruntergeladen werden können. Paketdateien sind öffentliche Web-Ressourcen, die Benutzer darüber informiert werden und Zugriff darauf gilt nicht als Datenverletzung.

Zugriff auf __CAPGO_KEEP_0__ Paketdateien oder Beweis dafür, dass Paketdateien heruntergeladen werden können. Paketdateien sind öffentliche Web-Ressourcen, die Benutzer darüber informiert werden und Zugriff darauf gilt nicht als Datenverletzung.

If the root cause is a Supabase platform or service bug, report it to Supabase, not Capgo. If the vulnerable logic, SQL, RPC, RLS policy, Edge Function, or configuration was created or chosen by Capgo and we can fix it in our project, it is in scope even when Supabase serves the endpoint. For findings about Supabase behavior itself, include a reproducible case and the exact Supabase setting or config change that prevents it in a project configured like ours.

Wenn der ursprüngliche Grund ein Bug im Supabase-Plattform oder -Dienst ist, melden Sie ihn bei Supabase und nicht bei __CAPGO_KEEP_0__. Wenn die anfällige Logik, SQL, RPC, RLS-Politik, Edge-Funktion oder Konfiguration von __CAPGO_KEEP_1__ erstellt oder gewählt wurde und wir sie in unserem Projekt beheben können, ist sie auch dann im Geltungsbereich, wenn Supabase den Endpunkt bereitstellt. Für Befunde über das Verhalten von Supabase selbst müssen Sie einen reproduzierbaren Fall und die genaue Supabase-Einstellung oder Konfigurationsänderung angeben, die ihn in einem Projekt wie unserem verhindert.

Bekannte Supabase Auth Einschränkungen (Bereits gemeldet)

Einige Funde werden wiederholt gemeldet und werden durch Supabase Auth-Standardwerte oder Plattformverhalten verursacht und nicht durch Capgo code. Wir überprüfen diese nur, wenn sie in einem gemeinsamen Supabase-Demo-Projekt wie unserem reproduziert werden können und wenn der Fix eine Supabase-Seitigeneinstellung ist, die keine Änderung der Capgo-Sicherheitsregeln erfordert. Wenn der Fix eine Änderung der Capgo-besitzenen SQL, RPCs, RLS-Policies, Funktionen oder Anwendungslogik erfordert, melden Sie es uns, da dies im Umfang ist.

• Bieten Sie einen wiederholbaren Fall an und identifizieren Sie den genauen Fix: entweder die Supabase-Einstellung/ -Konfigurationsänderung, die ein Supabase-Verhaltensproblem behebt, oder die Capgo-besitzene code/Konfigurationsobjekt, das geändert werden muss
• Email-Verifizierungsverhalten ist erwartet, dass es Ihren Supabase Auth-Projekt-Einstellungen folgt (z. B. ob die E-Mail-Bestätigung deaktiviert ist und ob eine Capture-basierte Auth verwendet wird)
• Die Passwortsynchronisierung und die Wiederherstellungsflüsse erfordern möglicherweise nicht immer die Eingabe des alten Passworts oder die erneute Verifizierung, wenn Supabase Auth so konfiguriert ist
• Wenn das Problem in dieser Liste ist, aber Sie können einen konkreten Supabase-Seitigen Fix in dem bereitgestellten Projekt oder einen konkreten Capgo-besitzenen Sicherheitsfehler zeigen, können wir es in den Umfang aufnehmen

Für Fragen zu unserem Bug Bounty-Programm wenden Sie sich bitte über unsere GitHub-Sicherheitsanweisungen