Sicherheitslücken melden

Danke, dass du dich für die Sicherheit von froxlor interessierst! Wir freuen uns besonders über Meldungen von froxlor-Nutzern, aber jeder qualifizierte Hinweis ist willkommen.

Sicherheitslücke melden

Melde Sicherheitslücken bitte ausschließlich vertraulich über GitHub Security Advisories – nicht per E-Mail, öffentlichem Issue, Pull-Request oder in sozialen Medien. Beschreibe möglichst genau:

• betroffene Version und Konfiguration,
• Schritte zur Reproduktion (idealerweise auf einer frischen Standardinstallation),
• die realistische Auswirkung.

Gib uns bitte angemessen Zeit, die Lücke zu beheben und Updates bereitzustellen, bevor du Details veröffentlichst. Wir halten dich über den Advisory auf dem Laufenden.

Unterstützte Versionen

Version	Sicherheitsupdates
2.3.x	✅ ja
≤ 2.2.x	❌ nein

Was uns besonders interessiert

SQL-Injection, Codeausführung auf dem Server, Cross-Site-Scripting, Cross-Site-Request-Forgery, Fehler bei Authentifizierung und Berechtigungen sowie die Preisgabe sensibler Informationen.

Nicht berücksichtigt

Berichte automatisierter Scanner ohne Nachweis, rein theoretische Angriffe, Lücken in Drittbibliotheken (bitte an deren Maintainer melden), Social Engineering, Angriffe, die das Abschalten von Sicherheitsfunktionen voraussetzen, Aktionen eines Administrators gegen das eigene System, schwache TLS/SSH-Algorithmen sowie physischer Zugriff oder bereits kompromittierte Systeme.

Die vollständige Richtlinie steht auch im Repository. Maschinenlesbare Kontaktdaten: /.well-known/security.txt.