安全

Quarkus 团队和社区非常重视所有安全漏洞。您可以在此处找到关于我们的政策和安全披露的指导方针。

Quarkus 团队和社区非常重视所有安全漏洞。您可以在此处找到关于我们的政策和安全披露的指导方针。

请勿在我们的公共 bug 跟踪器中报告安全漏洞。请按照此页面中给出的说明进行操作。

报告安全问题

请将您在 Quarkus 中发现的任何安全问题报告至

security at quarkus.io

任何人都可以向此列表发帖。订阅者仅为 Quarkus 社区中值得信赖的个人,他们将负责处理以保密方式报告的任何安全问题。在您的报告中,请注明您希望如何因发现该问题而获得表彰,以及您希望实施的任何禁运的详细信息。目前,以下发行版的安全响应团队已订阅此列表,并将回复您的报告

生态系统

Quarkus 是一个由许多扩展和许多库(例如 Eclipse Vert.x、Hibernate、Apache Camel 等)组成的生态系统,其中大多数不属于 Quarkus 团队的直接责任范围。如果您发现一个可能源于其中一个库的安全漏洞,您可以直接向他们披露,也可以向 Quarkus 团队披露(按照此流程),我们将负责任地向相应的扩展或库维护者披露该问题。

为什么遵循此流程

由于安全漏洞的敏感性,披露过程比常规错误更加受限。我们感谢您遵循这些行业公认的指南,这为正确修复问题提供了时间,并限制了攻击的时间窗口。

支持的版本

社区将修复在 https://quarkus.net.cn/get-started/ 上发布的最新 major.minor 版本的安全漏洞。

版本 支持

最新的 3.x

3.20 LTS

3.15 LTS

3.8 LTS

较旧的 3.x

< 3.0

我们可能会修复旧版本的漏洞,具体取决于问题的严重性和发布的年份,但我们仅承诺支持上述版本。

处理安全问题

如果您代表 Quarkus 扩展或 Quarkus 平台,欢迎您订阅 security at quarkus.io 邮件列表。只有当您可以证明您将以保密方式处理问题并正确表彰报告者发现问题时(例如,具有禁运流程经验),您的订阅才会被批准。