Säkerhet

Gäller från: 2026-04-25 - Version: 1.1

Senast uppdaterad: 2026-04-25

Rapportera en sårbarhet #

Mejla security@frem.sh. Krypterad e-post går bra; fingeravtrycket för vår PGP-nyckel finns på sidan Förtroende.

Vi bekräftar mottagna rapporter inom 48 arbetstimmar (se avsnittet om safe harbour nedan för det formella åtagandet). Kritiska problem i fremforges egna delar åtgärdas vid behov före Forgejo uppströms; buggar i Forgejo samordnas med Forgejos säkerhetsteam enligt deras policy för ansvarsfullt offentliggörande. Våra publicerade åtaganden för åtgärdstid per allvarlighetsgrad finns på sidan Förtroende.

Ansvarsfullt offentliggörande #

Rapportera sårbarheter till security@frem.sh.

En maskinläsbar policy för offentliggörande publiceras på frem.sh/.well-known/security.txt enligt RFC 9116, med omfattning, kontaktuppgifter, föredragna språk och tid för bekräftelse.

Safe harbour: forskning i god tro inom den publicerade omfattningen omfattas av safe harbour. fremverk vidtar inga rättsliga åtgärder mot forskare som följer policyn. Vi åtar oss att bekräfta sårbarhetsrapporter inom 48 arbetstimmar och att offentliggöra samordnat enligt en tidsplan som vi kommer överens om.

Fingeravtrycket för PGP-nyckeln till security@frem.sh publiceras på frem.sh/trust#security-contact.

Omfattning #

• frem.sh - Forgejo-UI, Git-protokollet, API, paketregister
• www.frem.sh, docs.frem.sh, status.frem.sh
• fremforges produktionsmiljö på T Cloud Public
• E-post och transaktionsmejl som skickas från @frem.sh

Utanför omfattningen #

• Tredjepartsintegrationer som du själv kopplar mot fremforge (rapportera till leverantören)
• Fynd som kräver en redan autentiserad, privilegierad användarsession för att återskapas, utöver det som användaren redan har åtkomst till

Vad vi publicerar #

Säkerhetsmeddelanden publiceras på sidan Förtroende och skickas till säkerhetssändlistan. Efteranalyser av incidenter som har påverkat kunddata eller tillgänglighet publiceras inom 14 dagar.

Ändringslogg #