الأمان

الإبلاغ عن ثغرة أمنية

استخدم نموذج الإبلاغ عن ثغرة أمنية الخاص بـ GitHub. يمكن للمشرفين فقط قراءته. اذكر ما وجدته، وكيفية إعادة إنتاجه، والإصدار الذي استخدمته (تعليمات ← حول يظهره). يرجى عدم فتح مشكلة عامة للمشاكل الأمنية.

ستتلقى ردا في أقرب وقت ممكن. يتم إصدار الإصلاح قبل نشر التفاصيل، ويتم ذكر اسمك في الإشعار وملاحظات الإصدار ما لم تفضل عدم ذلك. خلال إصدارات 0.x، تتلقى أحدث إصدارات فقط إصلاحات الأمان.

كيفية إصدار النسخ

• يتم بناء كل إصدار من الكود المصدري العام بواسطة GitHub Actions، على خوادم GitHub؛ سجلات البناء عامة.
• يسرد كل إصدار مجموع التحقق SHA-256 لكل ملف في SHA256SUMS.txt. تحقق من تنزيلك مقابل ذلك: انظر تنزيل.
• احصل على MDM فقط من هذا الموقع أو من إصدارات المشروع على GitHub. قد تكون النسخ الموجودة في أماكن أخرى معدلة.
• لم يتم توقيع مثبت Windows بعد، لذلك قد يحذر Windows SmartScreen قبل التشغيل الأول. سيتم إضافة توقيع الكود.

ما الذي يحميك

• يتم التحقق من المساعدين قبل تشغيلهم. يتم التحقق من yt-dlp مقابل مفتاح توقيع المطورين، و ffmpeg مقابل مجموعات التحقق المنشورة الخاصة به.
• لا يوجد شيء يستمع على الشبكة. واجهة برمجة تطبيقات الأتمتة تكون معطلة افتراضيا، وعند تشغيلها، تستجيب فقط على 127.0.0.1 باستخدام رمز سري. مساعد المتصفح يستجيب فقط لإضافة MDM الخاصة.
• يتم تنظيف أسماء الملفات التي تم تنزيلها قبل أن تصبح مسارات، حتى لا يتمكن الخادم من الكتابة خارج المجلد الذي اخترته.
• تبقى بيانات الاعتماد مع موقعها. يتم إرسال عمليات تسجيل الدخول وملفات تعريف الارتباط فقط إلى المضيف الذي تنتمي إليه، حتى عبر عمليات إعادة التوجيه.
• لا يوجد تتبع: انظر سياسة الخصوصية.

السياسة الفنية، مع الكود الذي تشير إليه كل نقطة، موجودة في SECURITY.md.