Проект
Безопасность
Как сообщить об уязвимости лично, что входит в область действия и какие версии получают исправления.
Сообщайте лично
Напишите на denys.ziuziuk.w@gmail.com с темой «Nuvo security». Не открывайте публичный issue или pull request для уязвимости.
Укажите версию (Настройки, О приложении), ваш дистрибутив Linux, шаги воспроизведения и что получает злоумышленник. Я отвечаю в течение недели. Я сообщу, когда выйдет исправление, и укажу вас в благодарностях, если вы этого хотите.
Входит в область действия
- Демон на Rust
nuvo-core: его локальный API, аутентификация, зашифрованная база данных, зашифрованный кэш аудио, фраза восстановления. - Приложение на Electron: мост preload, политика окон и разрешений, политика безопасности содержимого, обработка ссылок и файлов, проверки своего CSS и файлов тем.
- Всё, что раскрывает мастер-ключ, содержимое медиатеки или историю прослушиваний другому пользователю, процессу или хосту.
Не входит в область действия
- Атаки, которым нужна уже скомпрометированная учётная запись или root на компьютере. Nuvo не может защитить открытое хранилище ключей от кода, который работает от вашего имени.
- Слабые места в YouTube, SoundCloud, yt-dlp, ffmpeg и других сервисах, с которыми работает Nuvo. Сообщайте о них их авторам.
- Отказ в обслуживании, который пользователь устраивает на своём собственном компьютере.
- Отсутствующее усиление защиты, у которого нет продемонстрированного эффекта.
Поддерживаемые версии
Исправления получает только последний выпуск.