Este documento descreve como reportar vulnerabilidades de segurança e como o projeto as trata.

⚠️ Não abra issues públicas para vulnerabilidades de segurança.
Issues públicas expõem usuários antes que haja uma correção disponível.

Use o GitHub Private Security Advisories:

1. Acesse Security → Advisories
2. Clique em "Report a vulnerability"
3. Preencha o formulário - a conversa fica privada entre você e o maintainer

Contato direto pelos links no perfil @KillovSky.

• Execução de código arbitrário via plugins sem confirmação do usuário
• Exfiltração de dados - credentials, tokens, chaves de API armazenadas
• Corrupção de arquivos do usuário causada por bug no editor
• Path traversal / directory traversal em operações de arquivo
• Bypass do sistema de confiança de plugins (trusted_plugins.json)
• Injeção de comandos via inputs do usuário que chegam a subprocess
• Credenciais Git expostas em logs, estado compartilhado ou transmissões inseguras
• XSS ou injeção no render de Markdown/HTML interno
• Credenciais de banco de dados expostas via SQL Studio

• Bugs funcionais sem impacto de segurança → Issue normal
• Vulnerabilidades em dependências externas → reporte diretamente a elas
• Problemas em forks e distribuições de terceiros
• Vulnerabilidades que exigem acesso físico ao dispositivo do usuário
• Ataques de engenharia social fora do código

O projeto é mantido por uma única pessoa no tempo livre disponível. Os prazos são estimativas de boa-fé.

O Codis executa código Python de plugins instalados pelo usuário. Isso é intencional - plugins são extensões Python nativas com acesso ao processo.

• Análise estática na instalação - o PluginLoader executa análise AST de importações e chamadas suspeitas antes de ativar um plugin novo
• Sistema de confiança - trusted_plugins.json registra plugins verificados; plugins não listados passam por confirmação do usuário antes de carregar
• Sandboxing de API - a PluginAPI expõe apenas as interfaces necessárias; plugins não têm acesso direto a ConfigManager, credenciais Git ou providers de IA por padrão
• Escrita atômica - saves usam tmp + rename; plugins não podem corromper arquivos via race condition na API exposta

• Senhas de conexão são armazenadas com codificação base64 em ~/.codis/sql_connections.json - proteção básica contra exposição acidental em logs, não criptografia robusta
• Conexões SQLite usam check_same_thread=False com lock explícito para serialização de acesso concorrente
• Credenciais nunca aparecem em logs ou na interface

O sistema de confiança de plugins não é uma sandbox completa. Um plugin Python malicioso com permissão do usuário pode fazer qualquer coisa que Python pode fazer. Instale apenas plugins de fontes confiáveis.

Veja wiki/plugins.md para detalhes sobre o modelo de segurança e as APIs disponíveis.

Pesquisadores que reportarem vulnerabilidades válidas de forma responsável serão creditados nas notas de release (com permissão) como Security Researchers.

• OWASP - Secure Coding Practices
• Python Security - subprocess
• GitHub - Private Security Advisories