Proprietários e administradores de repositórios públicos podem habilitar relatórios de vulnerabilidades privados nos respectivos repositórios. Confira Como configurar relatórios privados de vulnerabilidades em um repositório.
Observação
- Se você tiver permissões de administração ou de segurança para um repositório público, não precisará enviar um relatório de vulnerabilidade. Em vez disso, crie um rascunho de aviso de segurança diretamente. Consulte Criando uma consultoria de segurança do repositório.
- O relatório privado de vulnerabilidades é separado do arquivo
SECURITY.mdde um repositório. Você só pode relatar vulnerabilidades privadamente para repositórios em que esse recurso está habilitado. Se o repositório tiver uma política de segurança, a política será exibida acima do formulário de relatório para que você possa examinar as diretrizes do mantenedor antes de enviar.
Se um repositório público tiver relatórios de vulnerabilidades privados habilitados, qualquer pessoa poderá enviar um relatório de vulnerabilidade privada para os mantenedores do repositório.
Se o repositório não tiver relatórios de vulnerabilidades privados habilitados, você precisará iniciar o processo de relatório seguindo as instruções na política de segurança do repositório ou criando um problema solicitando aos mantenedores um contato de segurança preferencial. Consulte Divulgação coordenada de vulnerabilidades de segurança.
-
Em GitHub, acesse a página principal do repositório.
-
No nome do repositório, clique na Security and quality guia. Se você não conseguir ver a guia " Security and quality", selecione o menu suspenso e clique em Security and quality.
-
Clique em Relatar uma vulnerabilidade para abrir o formulário de aviso.
-
Se o repositório tiver uma política de segurança, examine a política exibida acima do formulário.
-
Preencha o formulário de relatório de vulnerabilidades.
Dica
Por padrão, você deve fornecer um resumo, detalhes, prova de conceito e declaração de impacto. Os mantenedores podem personalizar o formulário e exigir outras informações. Forneça detalhes suficientes para os mantenedores reproduzirem e avaliarem a vulnerabilidade.
-
Opcionalmente, selecione usei assistência de IA para encontrar ou redigir este relatório.
-
Na parte inferior do formulário, clique em Enviar relatório. GitHub exibirá uma mensagem informando que os mantenedores foram notificados e que você tem um crédito pendente para este aviso de segurança.
Dica
Quando o relatório é enviado, GitHub adiciona automaticamente o repórter da vulnerabilidade como colaborador e como um usuário creditado na consultoria proposta.
-
Opcionalmente, clique em Iniciar um fork privado temporário se quiser começar a corrigir o problema. Observe que somente o mantenedor do repositório pode mesclar as alterações do fork privado com o repositório pai.
As próximas etapas dependem da ação executada pelo mantenedor do repositório. Consulte Gerenciar vulnerabilidades de segurança relatadas privadamente.