脆弱性の報告
GitHubのプライベートな脆弱性の報告フォームをご利用ください。このフォームはメンテナーのみが閲覧できます。発見した内容、再現方法、使用したバージョン（ヘルプ → バージョン情報で確認できます）を記載してください。セキュリティ問題については、公開のIssueを作成しないでください。
できるだけ早く返信いたします。詳細は公開される前に修正版がリリースされ、ご希望でない限り、アドバイザリとリリースノートに貢献者として記載されます。0.xバージョンでは、最新リリースのみがセキュリティ修正を受けます。
リリースの作成方法
- すべてのリリースは、GitHubのサーバー上でGitHub Actionsによって公開ソースコードからビルドされます。ビルドログは公開されています。
- 各リリースには、
SHA256SUMS.txt内のすべてのファイルのSHA-256チェックサムが記載されています。ダウンロードしたファイルと照合してください。ダウンロードを参照してください。 - MDMはこのサイトまたはプロジェクトのGitHubリリースからのみ入手してください。他の場所のコピーは改ざんされている可能性があります。
- Windowsインストーラーはまだコード署名されていないため、初回起動時にWindows SmartScreenが警告する場合があります。コード署名は今後追加されます。
あなたを保護するもの
- ヘルパーは実行前に検証されます。 yt-dlpはその開発者の署名キーに対して、ffmpegはその公開されたチェックサムに対してチェックされます。
- ネットワーク上で何もリッスンしません。 自動化APIはデフォルトでオフになっており、オンの場合でも、秘密トークンを使用して
127.0.0.1でのみ応答します。ブラウザヘルパーはMDM自身の拡張機能にのみ応答します。 - ダウンロードされたファイル名はクリーンアップされます。これにより、サーバーが選択したフォルダの外に書き込むことができなくなります。
- 認証情報はサイトに留まります。 ログイン情報とCookieは、リダイレクトをまたいでも、それらが属するホストにのみ送信されます。
- テレメトリーなし：プライバシーポリシーを参照してください。
各ポイントが参照するコードを含む技術ポリシーは、SECURITY.mdに記載されています。