Textpattern CMS 宣布调整安全漏洞报告政策
来源标题：Changes to Textpattern CMS Security Policy
Textpattern CMS 将调整安全报告流程，自 2026 年 12 月 1 日起改用 GitHub 私密漏洞报告，邮件报告方式继续可用但被弃用。届时发布说明将附带 GHSA 编号，在没有优先第三方 CNA 的情况下由 GitHub 担任 CNA。官方还表示可能发布仅含修复的版本，发布节奏或将加快。
以下正文由 AI 翻译自 Hacker News 最新（原文版权归原站所有），可能存在偏差，重要内容请以原文为准。
我们正在调整安全报告流程，以便更高效、更有效地应对当前的漏洞研究形势。本文概述了拟议的政策更新及相应的时间安排和发布启动时间，还包括关于我们现有流程及相关挑战的部分背景信息。
我们将从 2026 年 12 月 1 日 00:01 UTC 起使用 GitHub 私密漏洞报告功能。电子邮件报告将继续可用，但已被弃用。我们将从 2026 年 12 月 1 日 00:01 UTC 起在发布说明中包含 GitHub Security Advisory（GHSA）ID。在缺少首选第三方 CNA 的情况下，我们将使用 GitHub 作为签发 CNA。我们可能会发布“仅修复”的 Textpattern 版本，Textpattern 的发布节奏可能会加快。来自上游供应商的第三方库安全修复可能会加快 Textpattern 的发布。
Textpattern CMS 4.9.2 包含了对多个安全问题的修复。这些问题由 Textpattern 开发者与负责任地向我们报告发现的第三方安全研究人员共同调查和解决。Textpattern 4.9.2 开发与发布周期的一个关键差异是报告的范围和数量显著且持续增加。我们将报告量的增加主要归因于人工智能和大语言模型驱动的漏洞研究的影响。
Textpattern 4.9.2 中解决的报告问题的范围和数量远超以往任何 Textpattern 版本。这表现为发布周期比预期更长，同时行政工作量大幅增加，对安全研究人员与 Textpattern 开发者之间的沟通造成了不利影响。
我们将从 2026 年 12 月 1 日 00:01 UTC 起使用 GitHub 私密漏洞报告功能。我们鼓励研究人员从 2026 年 12 月 1 日 00:01 UTC 起使用 GitHub 私密漏洞报告功能。电子邮件报告将继续可用，但应视为已弃用。在无法使用 GitHub 的情况下，我们计划代表研究人员在 GitHub 上创建和维护漏洞报告，以便于跟踪和解决，并在发布时提供适当的署名和审计记录。
历史上，Textpattern 一直通过电子邮件处理安全报告。通过电子邮件进行安全报告的工作流程通常包括：每个问题都有多封往返电子邮件，包括团队内部讨论以及与一位或多位研究人员的对外沟通。当报告的数量、范围和复杂性增加时，电子邮件的数量可能会大幅增加。
电子邮件报告工作流程还存在其他挑战，这些挑战在近期的版本中对我们的效率造成了不利影响。与某些电子邮件提供商之间的送达可能不可靠，尤其是当邮件正文或附件包含触发内容过滤器的内容时。
安全研究人员常使用非地域性网络邮件提供商（例如 Google Mail、Proton Mail），且往往带有数字后缀，暗示存在并维护多个账户。例如，Alice 最初从 researcher568[at]example.com 联系我们，但后续邮件却从 researcher437[at]example.com 发送。当某个账户不再使用或被停用——无论是研究人员还是电子邮件提供商所为——失效的电子邮件地址可能导致邮件无法送达（退回）并陷入死胡同。曾出现过研究人员不回应我们要求提供更多信息或获取 CVE 的请求的情况，这使得问题解决和发布时的相关署名变得复杂。
研究人员或团队可能在初始报告和确认之后发现更多问题。从管理角度看，每个报告的问题都应有自己的独立线程，以便高效解决和有效沟通。我们偶尔会遇到单个电子邮件线程中包含多个漏洞报告的情况。这可能会造成混乱，尤其是在我们在发布时检查问题解决情况时。
我们将从 2026 年 12 月 1 日 00:01 UTC 起在发布说明中包含 GitHub Security Advisory（GHSA）ID。从 2026 年 12 月 1 日起，Textpattern 发布说明将包含特定安全问题的 GitHub Security Advisory 参考，并可交叉引用适用的 CVE。这取代了之前的发布说明程序，即在其中列出已识别问题的可用 CVE 或占位符。无论是否申请 CVE，Textpattern 发布说明中将继续提供研究人员署名。
在 Textpattern 漏洞被识别并负责任地报告的情况下，我们鼓励研究人员申请 CVE，作为解决和署名流程的一部分。我们通常不会主动启动此申请流程，但我们会积极参与研究人员的申请。据研究人员反馈，CVE 申请存在一些延迟。Textpattern 使用 GitHub 的漏洞报告功能，允许研究人员在缺少首选第三方 CNA 的情况下使用 GitHub 作为 CVE 编号机构（CNA），研究人员可根据需要选择申请 CVE。
GitHub 漏洞报告与跟踪流程确保每个问题都有自己唯一的标识符。在问题调查期间，可见性和讨论仅限于 Textpattern 开发者和相关研究人员。问题成功解决后，将确认纳入 Textpattern 版本的意图以及协调披露的时间表。GitHub Security Advisory 通常会在 Textpattern 发布前后添加到发布说明中——实质上是将其公开。
我们可能会发布“仅修复”的 Textpattern 版本，Textpattern 的发布节奏可能会加快。
（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）
正文由 探How 从来源站点 RSS 同步，内容未经改写；遇到排版缺失或需要图片、视频时请以原文为准。