OpenHR är ett HR- och lönesystem. Ett skarpt system av den här typen hanterar personnummer, lönedata, bankkontonummer, adresser och uppgifter om sjukfrånvaro och rehabilitering. Säkerhetsbrister tas därför på stort allvar, även om projektet ännu är en demonstrator och inte är produktionsklart.

Rapportera sårbarheter privat, inte i ett öppet ärende (issue), en pull request eller ett diskussionsinlägg.

1. Gå till fliken Security i repot och välj Report a vulnerability (GitHubs privata säkerhetsrådgivningar): https://github.com/SpankulatorX/OpenHR/security/advisories/new
2. Beskriv:
   • vilken del av systemet som berörs (fil, sida eller rutt),
   • hur felet kan återskapas, steg för steg,
   • vilken roll som behövs (Anställd, Chef, HR eller Admin, eller ingen inloggning),
   • vad en angripare kan uppnå,
   • vilken commit eller version du har testat.
3. Skicka aldrig riktiga personuppgifter i en rapport. Använd demodata.

Om knappen Report a vulnerability inte syns: öppna ett vanligt ärende med rubriken "Begär privat kontaktväg för säkerhetsrapport", utan några tekniska detaljer, så återkommer förvaltaren med en privat kanal.

Projektet underhålls av en enskild person. Du får svar i rådgivningens tråd. Vänta med att publicera detaljer tills en rättning finns eller tills vi kommit överens om en tidpunkt. Den som rapporterar nämns gärna i rådgivningen om hen vill det.

Det finns ännu inga releaser eller versionstaggar. Bara den senaste koden på grenen main underhålls.

Den publika demon på https://hr.404haven.se är till för att visa funktionerna.

• All data i demon är fiktiv. Anställda, löner, personnummer och ärenden är genererade och tillhör inga verkliga personer.
• Inloggningen är simulerad. BankID och SITHS är simuleringar, och vem som helst kan välja vilken demoprofil som helst, även Admin. Det är avsiktligt i demon och räknas inte som en sårbarhet i sig. Brister i hur behörigheter upprätthålls för en vald roll är däremot intressanta att få rapporterade.

Detta får du inte göra mot demon:

• belastningstester, stresstester eller överbelastningsförsök (DoS), inklusive att medvetet utlösa anropsbegränsningen,
• automatiserad skanning eller fuzzing med hög anropstakt,
• gissning av lösenord, nycklar eller token i stor skala,
• försök att ta sig vidare från demon till servern, databasen eller andra tjänster,
• tester mot andra adresser under 404haven.se än hr.404haven.se,
• att radera eller förstöra data i demon i större omfattning, eller att lägga in olagligt, kränkande eller verkliga personers uppgifter,
• social manipulation (social engineering) eller fysiska angrepp.

Testa hellre i en egen lokal installation. Med docker compose up -d startar du appen med samma slags fiktiva demodata som i demon, se README.

Please report vulnerabilities privately through GitHub's Report a vulnerability button under the repository's Security tab, never in a public issue. The demo at hr.404haven.se contains only fictitious data and uses a simulated login. Do not run load tests, denial-of-service attempts or high-volume automated scans against the demo; test against a local installation instead.