Na FULL Services, levamos a segurança do ecossistema WordPress a sério e valorizamos a colaboração com a comunidade de segurança. Nosso compromisso é garantir um ambiente digital mais seguro, atuando com responsabilidade, transparência e rapidez na identificação, validação e correção de vulnerabilidades.

Escopo

A Política de Divulgação de Vulnerabilidades da FULL Scan Security cobre:

Plugins e extensões desenvolvidas pela FULL Services;

Componentes WordPress monitorados por meio do nosso serviço FULL Scan Security;

Integrações e produtos relacionados à nossa plataforma.

Diretrizes para Pesquisadores

Incentivamos a comunidade de pesquisadores, desenvolvedores, agências, e usuários a reportarem vulnerabilidades de forma responsável. Para garantir um processo ético e seguro, solicitamos que:

• Evitem qualquer violação de privacidade, degradação de performance, indisponibilidade ou destruição de dados durante testes de segurança;

• Não realizem testes em ambientes de produção de terceiros sem autorização;

• Não explorem vulnerabilidades além do necessário para comprovar a falha;

• Mantenham a vulnerabilidade confidencial até que a correção tenha sido aplicada ou divulgada com nosso conhecimento;

• Reportem de forma clara e objetiva por meio dos canais oficiais descritos abaixo.

Como Reportar uma Vulnerabilidade

Você pode enviar relatórios de vulnerabilidades de duas formas:

1. Formulário de Vulnerabilidades no WordPress

Acesse nossa base pública e formulário de envio em: https://security.full.services/enviar-vulnerabilidade

2. Envio Direto por E-mail

Envie um e-mail para nossa equipe de segurança: [email protected]

Recomendamos que o e-mail contenha:

• Nome do plugin, extensão ou componente afetado;

• Versão impactada;

• Descrição técnica da vulnerabilidade e impacto potencial;

• Código de prova de conceito (PoC), se aplicável;

• Etapas para reprodução;

• Intenção ou previsão de divulgação pública.

Processo de Resposta

• Todos os relatórios serão avaliados dentro de até 72 horas após o recebimento.

• Caso validada, a vulnerabilidade será repassada ao time responsável para investigação e correção.

• Estabeleceremos comunicação com o pesquisador para alinhar prazos de correção e divulgação.

• O cronograma de divulgação pode variar, mas a FULL Services se compromete a divulgar publicamente as vulnerabilidades após a liberação da correção, ou no máximo 30 dias após o primeiro contato, salvo em casos de não resposta do desenvolvedor de software relacionado.

Divulgação Pública

Após o período acordado de correção ou decorrido o prazo de 30 dias sem resposta:

• A vulnerabilidade será publicada em nossa base pública: https://security.full.services/vulnerabilidades-no-wordpress/

• Os detalhes incluirão: nome do pesquisador (caso deseje ser creditado), CVSS Score, descrição técnica e orientações de correção.

• Softwares ou extensões abandonadas podem ser divulgados mesmo sem correção, desde que a tentativa de contato com o responsável tenha sido infrutífera.

Compromisso da FULL Services

Acreditamos que a colaboração com a comunidade de segurança fortalece todo o ecossistema WordPress. Agradecemos e reconhecemos publicamente contribuições relevantes. Pesquisadores que seguirem esta política e contribuírem com descobertas válidas poderão ser incluídos em nossos boletins e materiais de segurança.

Se tiver dúvidas ou desejar colaborar de outra forma com nossa iniciativa de segurança, entre em contato. Juntos, podemos tornar o WordPress mais seguro para todos.