A Equipe de Desenvolvimento Mobile da STI/USP leva relatos de segurança a sério. Esta política vale para todos os repositórios públicos da organização @STI-Mobile.
Não abra uma issue pública. Issues são visíveis para qualquer pessoa e expõem a falha antes que exista correção disponível.
Use um dos canais abaixo:
Na página do repositório afetado, acesse a aba Security e clique em Report a vulnerability. O relato fica visível apenas para a equipe mantenedora.
Esse é o caminho preferencial porque mantém o histórico da apuração registrado junto ao código e permite que a correção seja desenvolvida em um fork privado, sem exposição prévia.
Se você não tem conta no GitHub ou prefere outro canal, escreva para
mobile.sti@usp.br com o assunto [SEGURANCA].
Quanto mais completo o relato, mais rápida a correção:
- Tipo de vulnerabilidade e componente afetado
- Versão do aplicativo e do sistema operacional
- Passos para reproduzir o problema
- Impacto potencial
- Prova de conceito, se houver
- Se você deseja ser creditado publicamente e sob qual nome
| Etapa | Prazo |
|---|---|
| Confirmação de recebimento | até 5 dias úteis |
| Avaliação inicial e classificação de severidade | até 15 dias úteis |
| Atualizações de andamento | a cada 30 dias, até a resolução |
Após a correção, publicamos um advisory descrevendo a falha e creditamos quem reportou, salvo pedido em contrário.
Pedimos que você aguarde a disponibilização da correção antes de divulgar publicamente os detalhes. Vulnerabilidades em aplicativos móveis dependem da adoção da nova versão pelos usuários, o que leva tempo mesmo após o envio às lojas.
Dentro do escopo: código dos repositórios públicos desta organização e os aplicativos móveis oficiais da USP distribuídos pela App Store e Google Play.
Fora do escopo: demais sistemas e domínios da Universidade. Para esses, utilize o canal de atendimento da STI em https://atendimentosti.usp.br/.
- Não acesse, modifique ou exfiltre dados de terceiros
- Não execute ataques de negação de serviço nem testes que degradem os serviços
- Não use engenharia social contra membros da comunidade USP
- Restrinja seus testes a contas próprias
Relatos feitos de boa-fé e dentro destas regras não resultarão em ação legal ou administrativa por parte da equipe.
Não mantemos programa de bug bounty. Reconhecemos publicamente as contribuições nos advisories e, quando aplicável, nas notas de versão.