SECURITY.md

   1 # Security Policy\r
   2 \r
   3 ## Reporting a vulnerability\r
   4 \r
   5 Vulnerabilities in TortoiseGit can be reported using:\r
   6 \r
   7 - a [GitLab issue](https://gitlab.com/tortoisegit/tortoisegit/-/issues/new) that is marked as confidential\r
   8 - an mail to `email (at) cs-ware (dot) de` (PGP key fingerprint: [29BC C23B 1C15 355C 1D26 DBAB 165A CCB5 FD51 5839](https://www.cs-ware.de/sven-FD515839.asc))\r
   9 \r
  10 Vulnerabilities are expected to be discussed _only_ using these two methods, and not in public, until the official announcement on the release date.\r
  11 \r
  12 Examples for details to include:\r
  13 \r
  14 - Ideally a short description (or a script) to demonstrate an exploit.\r
  15 - The affected scenarios.\r
  16 - The name and affiliation of the security researchers who are involved in the discovery, if any.\r
  17 - Whether the vulnerability has already been disclosed.\r
  18 - How long an embargo would be required to be safe.\r
  19 \r
  20 We prefer all communication to be in English or German.\r
  21 \r
  22 ## Supported Versions\r
  23 \r
  24 TortoiseGit only supports the most recent stable release. There are no official "Long Term Support" versions for TortoiseGit.\r
  25 \r
  26 Based on the vulnerability, we decide how to distribute the fix, e.g. as a separate patch or as a new stable release containing either only the patch or also other fixes.\r
  27 \r
  28 ## Preview versions\r
  29 \r
  30 TortoiseGit also provides preview releases (these are not stable releases) of the current development as per TortoiseGit's `master` branch at the [previews](https://download.tortoisegit.org/tgit/previews/) page on an irregular basis.\r
  31 \r
  32 We ensure that people who run a preview release are also automatically notified for fixed versions using our automatic updater.\r
  33 \r
  34 Note: in other projects' nomenclature these may be referred to as "nightly builds"\r