Die HUBIplan-App greift auf Mitgliederdaten, Bankverbindungen und die Kasse eines Vereins zu und speichert Teile davon auf dem Telefon. Hinweise auf Sicherheitslücken nehmen wir deshalb sehr ernst und sind für jede Meldung dankbar.

Reports in English are welcome; see the English summary at the end.

Bitte kein öffentliches Issue, sondern vertraulich über GitHub: Report a vulnerability (im Repository unter Security › Report a vulnerability).

Hilfreich sind:

• betroffene Fassung (Version oder Commit, Variante foss oder play), Android-Version und betroffener Teil (z. B. Bildschirm, Speicher, Push),
• Schritte zum Nachvollziehen, am besten gegen ein eigenes HUBIplan mit Demodaten (seed_testdata),
• eingeschätzte Auswirkung: Wer kann was sehen oder ändern, was er nicht dürfte?

• Wir bestätigen den Eingang in der Regel innerhalb von 7 Tagen.
• Wir prüfen die Meldung, halten dich auf dem Laufenden und stimmen eine Korrektur mit dir ab.
• Die Korrektur erscheint zuerst; Einzelheiten veröffentlichen wir danach als Sicherheitshinweis (GitHub Security Advisory), auf Wunsch mit Nennung deines Namens.
• Bitte gib uns bis zur Korrektur, höchstens 90 Tage ab Meldung, Zeit, bevor du Einzelheiten veröffentlichst.

Korrekturen gibt es für die jeweils neueste veröffentlichte Version und den aktuellen Stand von main; es gibt keine Release-Zweige.

Gemeint ist der Code in diesem Repository, beide Varianten. Besonders interessant sind:

• Zugriff anderer Apps auf Daten, Geräteschlüssel oder Entwürfe der App,
• unverschlüsselt gespeicherte Daten (Mitgliedsausweis, Kassenentwürfe, Belegfotos),
• Umgehung der Sperre des Reiters „Verwaltung“ (Fingerabdruck, PIN, Bildschirmfotos),
• Schwächen bei Verbinden per QR-Code, Push-Entschlüsselung oder Zertifikatsprüfung,
• Verbindungen zu anderen Diensten als der HUBIplan-Instanz (außer Push in play),
• Daten eines Kontos, die in einem anderen verbundenen Konto oder nach dem Abmelden noch lesbar sind (z. B. zwischengespeicherte PDFs, Belege, Kalendereinträge),
• Verknüpfungen auf dem Startbildschirm oder Links, die ein fremdes Konto öffnen oder Aktionen ohne Freischaltung auslösen.

Liegt der Fehler in der Schnittstelle von HUBIplan, bitte dort melden.

Nicht gemeint sind Lücken in Fremdsoftware (bitte dort melden), reine Last- oder Überlastungsangriffe, Social Engineering sowie Befunde ohne Auswirkung (z. B. Befunde, die ein entsperrtes Telefon mit Root-Rechten voraussetzen).

• Prüfe nur gegen eine eigene HUBIplan-Installation mit erfundenen Daten, z. B. mit docker compose up und seed_testdata (siehe hubiplan).
• Keine Angriffe auf fremde HUBIplan-Instanzen oder echte Vereinsdaten, keine Überlastungsangriffe.
• Stößt du doch auf echte personenbezogene Daten, greife nicht weiter darauf zu, speichere nichts und melde es uns.

Wer sich an diese Regeln hält und in gutem Glauben handelt, hat von uns keine rechtlichen Schritte zu erwarten.

Please do not open a public issue. Report vulnerabilities privately via GitHub private vulnerability reporting. Bugs in the HUBIplan server API belong to HUBIplan. We usually acknowledge reports within 7 days and ask you to keep details private until a fix is available, for at most 90 days. Fixes go into the latest released version and main; there are no release branches. Test only against your own HUBIplan installation with made-up data, never against other people's instances or real member data. Good-faith research that follows these rules will not face legal action from us.