报告安全问题

This page is a translated version of the page Reporting security bugs and the translation is 100% complete.

本页面介绍了提交与维基媒体基金会运营或维护的软件及服务有关的安全問題的流程。这包括MediaWiki及诸如维基百科等的维基媒体项目們。

我们允许负责任的披露，同时希望任何在我们的软件生态中发现安全問題的人都能保持宽容、谨慎行事。

什么是安全問題

以下列举的只是一个大致的标准，而非详尽列表。

如需提报安全问题，请发送邮件至security@wikimedia.org，或使用Phabricator上的“提报安全问题”表单。

此类报告在提報之时不会对公众公开。在问题解决后，请参阅下文了解后续流程。

如果您通过向security@wikimedia.org发送邮件报告漏洞，请告诉我们您是否有維基媒體Phabricator账号，以便我们将您添加至我们创建的bug中，这样您就可以追踪后续进度。

Phabricator账户能通过现有的SUL Wiki账户创建。

我們將會：

決定我們是否認定此為安全問題
試著重現此一問題，並依據其輕重緩急的程度對這個錯誤指定一個優先權。
會在Phabricator中放入一個補丁程式，其他人會去審核它，
- 這個補丁程式應在可行的時候，包含一些復原的測試。
補丁程式將會套用在維基媒體的叢集上，只會給某些受信任的伙伴和散佈者存取這個補丁的權力。^{[citation needed]}
在適當之時，這個補丁程式會被放入下一個MediaWiki的正式版本裏面。如果這個漏洞所造成的後果特別地糟，或是我們已收到這個漏洞已被很積極地利用的指示，我們會製造一個特殊的MediaWiki安全版本，以確保第三方是有受到保護的。
當發佈更正時，我們會公佈Phabricator的ticket，並在版本公告中歸功於你，除非你有明確指出某些確切的資訊不得公開。若你是透過email提報問題到security@wikimedia.org，email本身的內容可能會被公開。可能包含你的email地址以及簽名，除非你額外要求。在Phabricator標註永久保密可確保提交的內容將列為機密，直到永遠。
确定如果CVE记录未包含在原始报告中，是否需要发布该记录

當可能的時候，在補救進行之時，應對安全錯誤做附註，其包含下列：

提報者可以存取他自己寫的報告，這是標準做法。但要能存取到受安全保護的議題，一般來說，這有另一套流程

如果你想要提供某個安全錯誤的補丁程式，請將它附加在Phabricator工作裏面。你可以拖放補丁程式到評論區，也可以包含一個差異說明做為評論。

務必不要提交補丁程式到Gerrit裏面，所有的Gerrit更新（包含「草稿」）都是可以公開取得的。