Politique de divulgation des vulnérabilités

En vigueur le 28 octobre 2026

Comment signaler

Écrivez à info@plugincraft.ca. Pour une question urgente, par exemple des données exposées en ce moment, mettez « URGENT » au début de l’objet du message. Heures de la personne-ressource en sécurité : de 8 h à 17 h, heure de l’Est, du lundi au vendredi. La même personne-ressource figure dans notre fichier security.txt.

Veuillez inclure :

• ce que vous avez trouvé, la partie de TreeCraft touchée et pourquoi vous pensez que c’est un problème de sécurité;
• les étapes pour le reproduire, avec toute requête, capture d’écran ou preuve de concept utile;
• la version de l’application et le type de site Jira sur lequel vous avez fait vos essais;
• votre estimation de l’impact, et un score CVSS si vous en avez un;
• la façon dont vous souhaitez être remercié, le cas échéant.

Ne mettez pas de vraies données de clients dans votre signalement. Si vous en avez rencontré, dites-le-nous, cessez vos essais et supprimez-les.

Ce qui est visé

• TreeCraft : hiérarchies de tickets pour Jira Cloud (l’identifiant de l’application Forge figure en haut de cette page) : ses pages, ses fonctions Forge, son API REST, ses outils MCP et les actions de son agent Rovo.
• La façon dont l’application stocke, lit et affiche les données, y compris la façon dont elle applique les permissions de Jira et ses propres niveaux d’accès.
• Les pages de ce site Web, plugincraft.ca. Elles sont statiques : nous nous attendons à peu de constats.

Ce qui n’est pas visé

• Jira, Forge, Rovo, le Marketplace d’Atlassian et les autres services d’Atlassian. Signalez-les à Atlassian (voir plus bas).
• Les sites Jira d’autres clients, et tout site qui ne vous appartient pas ou que vous n’avez pas la permission de tester.
• Le déni de service, les essais de charge ou de volume, et les analyses automatisées qui génèrent un trafic important. Ils peuvent toucher d’autres clients.
• L’ingénierie sociale, l’hameçonnage et les attaques physiques contre Plugincraft ou ses fournisseurs.
• Les rapports d’outils automatisés sans impact démontré, les en-têtes de sécurité manquants sans exploitation possible, et les constats qui exigent un appareil ou un compte déjà compromis.

Comportements documentés qui ne sont pas des vulnérabilités

Ces comportements sont décrits dans nos documents de confiance et résultent de choix de conception. Veuillez ne pas les signaler comme de nouveaux constats :

• L’application garde la structure de chaque hiérarchie sous forme d’identifiants de tickets et de positions. Une personne qui peut ouvrir une hiérarchie peut recevoir les identifiants de tickets qu’elle ne peut pas consulter. Les clés, les résumés et les valeurs de champs des tickets ne sont jamais inclus.
• Les signaux de mise à jour en direct contiennent un identifiant de hiérarchie, une heure et au plus 100 identifiants numériques de tickets : une personne qui regarde peut donc apprendre qu’un ticket qu’elle ne voit pas a changé.
• Lorsqu’une personne ayant Contrôler active la recherche Jira pour une hiérarchie, toute personne qui peut chercher dans Jira peut savoir lesquels des tickets qu’elle peut consulter en font partie.

Tout ce qui dépasse ce que ces pages décrivent est visé. Par exemple, une clé, un résumé ou une valeur de champ d’un ticket qui parvient à une personne qui ne peut pas consulter ce ticket est un constat grave.

Règles pour les essais

• Faites vos essais seulement sur un site Jira qui vous appartient ou que vous administrez, avec des données fictives.
• Utilisez le moins d’accès et le moins de requêtes possible pour démontrer le problème. Ne lisez, ne modifiez et ne supprimez pas de données qui ne sont pas à vous.
• Arrêtez dès que vous avez démontré le problème. N’utilisez pas un constat pour consulter d’autres données, vous déplacer latéralement ou conserver un accès.
• Ne dégradez pas le service pour les autres.
• Ne communiquez pas les détails avant que les conditions de divulgation ci-dessous soient remplies.

Immunité pour la recherche de bonne foi

Nous voulons que les chercheurs signalent les problèmes. Si vous faites un effort de bonne foi pour suivre cette politique, nous considérons votre recherche comme autorisée. Nous n’intenterons aucune action en justice contre vous et nous ne demanderons pas aux forces de l’ordre d’enquêter sur vous pour une recherche faite conformément à cette politique. Si un tiers intente une action en justice contre vous pour une recherche qui a suivi cette politique, nous dirons qu’elle était autorisée.

Cette politique ne vise que Plugincraft. Elle n’engage ni Atlassian ni aucune autre entreprise, et elle ne vous permet pas d’enfreindre leurs règles. Si vous testez les services d’Atlassian ou signalez par l’entremise de ses programmes, suivez leurs conditions. Si vous doutez qu’une chose soit permise, demandez-nous d’abord à info@plugincraft.ca.

Ce que vous pouvez attendre de nous

Ce sont les délais de la politique de correction des bogues de sécurité d’Atlassian (en anglais) pour les applications Cloud, que nous avons vérifiée le 27 octobre 2026. Atlassian n’accepte une prolongation que dans des cas limités, par exemple lorsque le correctif dépend d’un changement de la plateforme Atlassian. Si nous devions en demander une, nous vous le dirions. Les jours ouvrables vont du lundi au vendredi, et les heures ouvrables sont de 8 h à 17 h, heure de l’Est. Nous répondons à une alerte de vulnérabilité d’Atlassian dans les 8 heures ouvrables.

Divulgation et reconnaissance

Nous suivons la divulgation coordonnée. Veuillez garder les détails confidentiels jusqu’à la publication d’un correctif, ou jusqu’à 90 jours après votre signalement, selon le premier des deux. Si le délai de correction d’un constat Faible est plus long, nous convenons d’une date avec vous. Si nous publions un avis, nous vous remercions sous le nom que vous préférez, à moins que vous souhaitiez rester anonyme. Plugincraft ne verse pas encore de récompense pour les signalements. Voir Pratiques de sécurité pour nos projets.

Signaler par l’entremise d’Atlassian

Le programme de divulgation des vulnérabilités d’Atlassian permet aux chercheurs de signaler une vulnérabilité d’une application du Marketplace par le programme de primes aux bogues de sécurité du Marketplace (en anglais). Une fois TreeCraft inscrite au Marketplace d’Atlassian, vous pourrez aussi utiliser cette voie. Signalez les vulnérabilités de Jira, de Forge ou des autres produits d’Atlassian à Atlassian.

Documents connexes

• Aperçu de la sécurité
• Réponse aux incidents
• Journalisation des données
• Politique de confidentialité