Skip to content

Repository navigation

Security: Oksion/XiControl

Security

SECURITY.md

Политика безопасности

XiControl работает с правами администратора (манифест requireAdministrator) — уязвимости в нём потенциально серьёзны, и мы относимся к сообщениям о них внимательно.

Как сообщить об уязвимости

Не открывайте публичный issue. Вместо этого:

  • используйте GitHub Security Advisories (приватная форма «Report a vulnerability»), либо
  • напишите мейнтейнеру в личные сообщения на 4PDA.

Опишите: версию XiControl, модель ноутбука, шаги воспроизведения и потенциальное влияние.

Что считается уязвимостью

  • Выполнение произвольного кода/команд через конфиг, соунд-файлы или другие входные данные (например, config.json разбирается с правами администратора).
  • Повышение привилегий через задачу планировщика автозапуска или самопочинку её пути.
  • Небезопасная запись в системные места (реестр, схемы электропитания) за пределами задокументированного поведения.
  • Обход авторизации или расширение набора команд HTTP API (GET /status, POST /mode|care|travel|owl) за пределы задокументированного белого списка; включение API или подмена токена без прав администратора (настройки лежат в %ProgramData%\XiControl\api.json под ACL «запись только Administrators/SYSTEM»). Осознанные, не-уязвимые компромиссы: API работает по HTTP без TLS, а в режиме «Доступ из локальной сети» доступен любому устройству подсети, знающему токен — поэтому он по умолчанию выключен, слушает только 127.0.0.1 и ограничен узким набором команд без записи настроек/автозапуска/запуска программ.
  • Проверка драйверов и BIOS (вкладка «Драйверы»): запрос к серверу Xiaomi без нажатия кнопки, отправка данных сверх задокументированных (модель/код платы, язык, регион и сборка Windows, версия BIOS — без серийного номера), открытие из ответа сервера ссылки не по https, любая попытка XiControl самому скачать или запустить пакет.

Что уязвимостью не является

  • Сам факт работы под администратором — это архитектурное требование WMI-интерфейса прошивки.
  • Поведение прошивки MIFS (набор порогов 40/50/60/70/80/100%, сброс лимита после сна и т.п.) — это железо/BIOS.
  • Содержимое пакетов драйверов и BIOS на сервере Xiaomi: XiControl их не проверяет и не устанавливает, а только открывает ссылку в браузере по второму нажатию — с предупреждением на вкладке.

Поддерживаемые версии

Исправления безопасности выходят только для последнего релиза (releases/latest) — обновитесь перед сообщением, если возможно.

There aren't any published security advisories