Come controlliamo i pacchetti e le richieste di rimozione

Prima che una versione venga pubblicata

Ogni versione viene ripulita, confrontata con il codice di licenza originale del produttore, analizzata e sottoposta a lint. La scheda Sicurezza di ogni pacchetto mostra i controlli e i loro risultati per versione:

• Scansione malware: ogni file di ogni versione confrontato con il database delle firme di ClamAV.
• Regole di pattern: regole per web shell, loader offuscati, PHP codificato e schemi di nulling noti.
• Analisi PHP: include remoti, input delle richieste che raggiungono funzioni di shell, decoder che alimentano eval, PHP nascosto in immagini, font o archivi, override della configurazione del server.
• Integrità della licenza: il codice di licenza, attivazione e aggiornamento viene confrontato con il codice originale del produttore; un codice di licenza alterato non viene mai pubblicato.
• Sintassi PHP: ogni file PHP viene analizzato correttamente con le versioni di PHP supportate dal repository.
• Politica sulle risorse: grafica, font, contenuti multimediali e contenuti demo che possono avere una licenza separata vengono sostituiti con segnaposto o rimossi.

Una versione che non supera i controlli non viene pubblicata. La scheda indica quante versioni sono state trattenute.

Nella scheda Versioni, Verificato accanto a una versione rimanda a questi risultati.

Quando un problema emerge in seguito

Se una versione pubblicata si rivela problematica, viene ritirata: Composer non può più installarla, chi segue il pacchetto viene avvisato e i webhook vengono attivati. Le copie già installate continuano a funzionare. Un progetto mostra Versione installata ritirata per i siti che la usano.

Le vulnerabilità segnalate pubblicamente per un plugin o un tema sono un’altra questione: vedi Avvisi di sicurezza.

Rimozioni

I titolari dei diritti possono chiedere la rimozione secondo la politica sulle rimozioni. Una rimozione blocca subito i download tramite Composer e dal sito web; la pagina del pacchetto lo indica e i progetti mostrano Pacchetto rimosso.

Per segnalare tu stesso un pacchetto, usa Segnala questo pacchetto in fondo alla barra laterale della sua pagina.