Rapportér en sårbarhed #

Skriv til security@frem.sh. Krypteret mail er velkommen; fingeraftrykket for vores PGP-nøgle står på Tillid-siden.

Vi kvitterer for rapporter inden for 48 timer på hverdage (se safe harbour-bestemmelsen nedenfor for den formelle forpligtelse). Kritiske problemer i fremforges egne komponenter patches om nødvendigt før upstream Forgejo; fejl i upstream koordineres med Forgejos sikkerhedsteam efter deres politik for offentliggørelse. Vores offentliggjorte frister for patching pr. alvorlighed står på Tillid-siden.

Offentliggørelse af sårbarheder #

Rapportér sårbarheder til security@frem.sh.

En maskinlæsbar politik for offentliggørelse findes på frem.sh/.well-known/security.txt efter RFC 9116, med omfang, kontakt, foretrukne sprog og frist for kvittering.

Safe harbour: Sikkerhedsforskning i god tro inden for det offentliggjorte omfang er omfattet af safe harbour. fremverk anlægger ikke sag mod forskere, der følger politikken for offentliggørelse. Vi forpligter os til at kvittere for rapporter om sårbarheder inden for 48 timer på hverdage og til koordineret offentliggørelse efter en tidsplan, vi aftaler i fællesskab.

Fingeraftrykket for PGP-nøglen til security@frem.sh er offentliggjort på frem.sh/trust#security-contact.

Omfang #

frem.sh - Forgejo-UI, Git-protokol, API, pakkeregistry
www.frem.sh, docs.frem.sh, status.frem.sh
fremforges produktionsmiljø på T Cloud Public
E-mail og transaktionsmails, der sendes fra @frem.sh

Uden for omfang #

Integrationer med tredjeparter, som du selv sætter op mod fremforge (rapportér til leverandøren)
Fund, der kræver en forudgående godkendt, privilegeret brugersession for at blive genskabt, ud over hvad brugeren allerede har adgang til

Det offentliggør vi #

Sikkerhedsmeddelelser offentliggøres på Tillid-siden og sendes til sikkerhedsmailinglisten. Post mortems for enhver hændelse, der har påvirket kundedata eller tilgængelighed, offentliggøres inden for 14 dage.

Ændringslog #

Version	Dato	Ændring
1.0	2026-04-25	Første offentliggørelse.
1.1	2026-10-04	Omfang: produktionsmiljøet i skyen beskrives i stedet for at blive nævnt ved sit interne projektnavn. Ingen ændring i omfanget.