脆弱性の報告

セキュリティの脆弱性は、公開の Issue、Pull Request、Discussion では報告しないでください。 pieceofcake2 Organization のセキュリティポリシーに従い、非公開で報告してください。

報告の方法

Organization のリポジトリでは、GitHub の非公開の脆弱性報告 (private vulnerability reporting) で報告を受け付けています。

影響を受けるリポジトリを開きます。たとえばフレームワークの場合は pieceofcake2/cakephp、アプリケーションスケルトンの場合は pieceofcake2/app です。
Security タブを開き、Report a vulnerability をクリックします。
フォームに記入して送信します。報告の内容は、報告者とリポジトリのメンテナーだけが見られます。

報告には GitHub のアカウントが必要です。詳しくは GitHub のドキュメントの Privately reporting a security vulnerability を参照してください。

本家の CakePHP 2.x の脆弱性も、pieceofcake2/cakephp に影響する場合はポリシーの対象になるので、同じ方法で報告してください。CakePHP チームは CakePHP 2.x の修正を行っていません。

報告に含める情報

できるだけ次の情報を含めてください。

影響を受けるパッケージとバージョン
問題の種類 (XSS、CSRF、SQL インジェクションなど)
影響を受けるファイルとコードの位置
再現手順、または概念実証 (PoC)
影響の範囲と、攻撃者がどのように悪用できるか

報告した後の流れ

セキュリティポリシーでは、公開までの流れを次のように定めています。

メンテナーが報告の内容を確認し、影響を受けるバージョンを特定します。
修正を用意してリリースします。
GitHub のセキュリティアドバイザリを公開し、必要に応じて CVE を申請します。

修正がリリースされるまでは、詳細を公開しないでください。修正は修正の告知で説明した方法で告知し、脆弱性への対応に掲載します。