Версия источника: d33454c0dad753475ecc92aaecf8d783f02fd01b
Синхронизировано: 2026-11-13T05:38:20.984Z
Источник: https://github.com/sergey-from-riders/vibecoding-base/tree/d33454c0dad753475ecc92aaecf8d783f02fd01b

<a id="security-vulnerability-response"></a>

# Уязвимости: прием сообщений и выпуск исправлений

## Коротко

У поддерживаемого проекта есть действующий security contact, приватный канал сообщения и процесс исправления с владельцем/сроком. Наличие SECURITY.md без работающего приема не выполняет эту норму.

## Плохо

```text
О проблемах пишите в публичные issues вместе с токенами и exploit.
Сроков ответа нет; зависимости обновятся когда-нибудь.
Закрытие issue считается исправлением, хотя release уязвим.
```

## Хорошо

```text
Пример структуры политики, значения назначает владелец:
Контакт/приватный канал → кто читает и кто заменяет владельца.
Support matrix → какие версии получают security fixes.
Срок первого ответа → triage → remediation deadline по риску.
Исправление → проверка → release/advisory → affected/fixed versions.
```

## Почему

Репорт и scanner finding требуют проверки применимости; они не равны доказанному exploit. При этом приватный прием не должен приводить к бессрочному отсутствию информации для пользователей. Исправление считается доставленным после доступного потребителям патча/меры, а не только после merge.

## Когда применять

Для публикуемого или эксплуатируемого ПО и его поддерживаемых компонентов. Документационный проект тоже указывает контакт для значимых проблем, но ему не требуется вымышленный binary patch pipeline. Для внутреннего сервиса используйте внутренний security channel и оповещение затронутых владельцев; публичные advisory применимы к публично распространяемому продукту.

В политике укажите приватный канал, ожидаемый срок первого ответа и обновлений статуса, поддерживаемые версии/EOL, правила безопасного репорта и coordinated disclosure. Не просите реальные credentials/PII в публичных issues; repro минимален и обезличен. Прием имеет owner и резервного ответственного; не публикуйте обещанный SLA, если команда не может его выполнять.

Triage фиксирует затронутые версии/конфигурации, воспроизводимость, влияние и срочность. Проект задает пороги release-blocking и сроки исправления; учитывайте эксплуатацию и достижимость, не только численный severity. Временное исключение требует причины, компенсирующих мер, владельца и expiry. При компрометации сначала ограничьте ущерб/отзовите credentials. Патч проходит целевую регрессию, выпускается в поддерживаемые ветви, а уведомление содержит affected/fixed versions и доступную mitigation без раскрытия секретов.

Основа — выбранные OSPS 2026.08.28 VM-02.01, VM-01.01/03.01/04.01; VM-05 относится к dependency remediation уровня L3, здесь используется как ориентир политики, а не обязательная сертификация всех проектов. VEX нужен только при выбранном профиле, не для каждого простого репозитория.

## Как проверить

1. Уполномоченный тестовый репорт через опубликованный канал → прием → назначен владелец и ответ в объявленный срок → безопасная запись без публичного payload.

2. Подтвержденная проблема в поддерживаемой и EOL версиях → triage → scope, сроки, patch/mitigation и отсутствие обещания неподдерживаемого исправления ясны → support/advisory.

3. Патч либо истекшее исключение → release decision → регрессия проверена, блокирующая проблема не пропущена молча, fixed version доступна потребителю → release evidence.

## Человек

Назначает контакты, реальные сроки поддержки/ответа, приоритет и coordinated disclosure.

## Агент

Подготавливает проверяемый scope и безопасный repro, связывает remediation с выпущенной версией и не публикует секреты/неподтвержденные выводы.

## Источники

- [OSPS Baseline 2026.08.28: VM-01–05 и DO-04/05 — contact, disclosure, support, remediation](https://baseline.openssf.org/versions/2026-08-28)

Уровень: Обязательно. Опубликовано: 2026-11-13. Проверено: 2026-11-13. Изменено: 2026-11-13.

[Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/d33454c0dad753475ecc92aaecf8d783f02fd01b/registry/standards/security/no-secrets/rules/vulnerability-response.md)