KBS-Sync kimlik ve konaklama verisi işlediği için güvenlik bildirimlerini öncelikli kabul ederiz.

Güvenlik düzeltmeleri main dalına ve makul olduğunda kökteki VERSION ile eşleşen en güncel GitHub Release sürümüne uygulanır. Eski Companion v1/v2/v3 istemcileri desteklenmez; eski cihaz tokenlarıyla devam etmek yerine Companion v4 QR ile yeniden eşleştirme gerekir.

Güvenlik açığını herkese açık issue, discussion veya pull request ile paylaşmayın. GitHub'daki Report a vulnerability akışını kullanın:

https://github.com/tunjayoff/KBS-Sync/security/advisories/new

Bildirimde mümkünse etkilenen bileşeni/sürümü, yeniden üretim adımlarını, etkiyi ve önerilen düzeltmeyi ekleyin. Gerçek kimlik, tesis bilgisi, şifre, token, cookie, sertifika özel anahtarı veya ham log göndermeyin; gerekiyorsa önce güvenli paylaşım yöntemini kararlaştırın.

İlk değerlendirmeyi 7 gün içinde, çözüm veya koordineli açıklama planını ise etki doğrulandıktan sonra mümkün olan en kısa sürede paylaşmayı hedefleriz.

Özellikle kimlik verisinin açığa çıkması, yetkilendirme atlama, eşleştirme tokenı ve sertifika sabitleme sorunları, yerel/LAN uçlarının istenmeden açılması, şifreleme anahtarı yönetimi ve otomasyonun yanlış kişi üzerinde işlem yapması güvenlik kapsamındadır.

Üçüncü taraf KBS portalındaki açıkları bu depoya bildirmeyin; ilgili kurumun resmî bildirim kanalını kullanın. Yetkisiz test yapmayın.