Política de seguridad

§Divulgación responsable

Si encuentras una vulnerabilidad en Tórculo, por favor no abras un issue público. Hay dos canales privados:

• Avisos de seguridad de GitHub (canal preferente): pestaña Security del repositorio, «Report a vulnerability».
• jl@joseluissaorin.com, si prefieres el correo o no tienes cuenta de GitHub.

Nos comprometemos a acusar recibo en 72 horas como mucho, a publicar una corrección o mitigación en un plazo objetivo de 30 días para lo crítico y a acreditar el descubrimiento en las notas de la versión si lo deseas.

§Ámbito

Interesa en especial todo lo que permita:

• que compilar o comprobar un pliego ejecute código del proyecto (la especificación lo prohíbe: §12 y §20);
• que un paquete .mesapack escriba fuera de su carpeta, se salte la comprobación de hashes o agote el disco al desempaquetarse;
• que una toma .take haga fallar, colgar o agotar la memoria de un reproductor (<manimgx-film>, la biblioteca de Rust), o que su WGSL (MATERIAL, POST) escape de la validación de WebGPU;
• que una lámina agote la memoria de un visor o lo engañe con tamaños falsos;
• que un sidecar haga leer o reproducir archivos fuera del proyecto;
• que el motor llame a la red o a un servicio de pago durante un rodaje.

Están en ámbito este repositorio (canon, pluma, materias, sentido, la batería de conformidad y sus oráculos, la web), el motor (torculo-manimgx) y la implementación de referencia de la lengua (manim-saorin). Quedan fuera las vulnerabilidades ya publicadas en dependencias, la denegación de servicio volumétrica y la ingeniería social.

Recuerda: rodar un pliego con bestiario (PYTHON, PIEZAS) ejecuta ese código, igual que ejecutar un programa. Eso no es una vulnerabilidad del estándar, pero sí lo es cualquier camino que lo ejecute al compilar, comprobar o empaquetar.

§Versiones con soporte

Tórculo está en borrador de trabajo (1.0). Las correcciones salen en la rama principal y en la siguiente versión etiquetada de cada biblioteca.