Alleen de laatste versie op de main-branch krijgt beveiligingsupdates.

We nemen de beveiliging van deze software serieus. Denk je een kwetsbaarheid te hebben gevonden, meld die dan zoals hieronder staat.

Meld kwetsbaarheden nooit via een openbaar issue of pull request.

Deze software is van de Rijksoverheid. Kwetsbaarheden in systemen van de Rijksoverheid meld je bij het Nationaal Cyber Security Centrum (NCSC), dat de melding coördineert. Gebruik het CVD-formulier:

https://www.ncsc.nl/cvd-beleid/cvd-formulier

Meer uitleg: https://www.ncsc.nl/producten-en-diensten/kwetsbaarheid-melden-cvd

Vermeld in je melding dat het om de applicatie Transcriptie van het ministerie van Financiën gaat, met indien mogelijk:

• het type kwetsbaarheid (bijv. cross-site scripting, path traversal);
• de bestanden in deze repository die ermee te maken hebben, en de commit of branch;
• de stappen om de kwetsbaarheid te reproduceren, en eventuele speciale configuratie;
• een proof-of-concept, als je die hebt;
• de impact: wat kan een aanvaller ermee?

We volgen het CVD-beleid (Coordinated Vulnerability Disclosure) van het NCSC:

• je krijgt binnen 3 werkdagen een bevestiging van je melding;
• we houden je op de hoogte van de voortgang;
• we lossen een kwetsbaarheid op voordat die openbaar wordt, en spreken met je af wanneer je erover mag publiceren;
• als je dat wilt, noemen we je bij de oplossing.

Vragen over dit beleid (geen meldingen van kwetsbaarheden): innovatiemanagementfinancien@minfin.nl.