# Security

## Reporting a vulnerability

A vulnerability does not belong in a public issue. Report it confidentially through GitHub: in the repository under
**Security → Report a vulnerability**. Only the reporter and journali see the report.

Helpful are: the affected version (at the top of the user interface), what can be exploited and how, and whether it is
already being exploited.

## What happens then

1. journali confirms receipt and checks the report.
2. The vulnerability is rated and fixed; the fix comes with a new version.
3. The release notes name the fixed vulnerability; if needed there is an identifier (CVE) and a security advisory in the repository.
4. journali reports an actively exploited vulnerability as manufacturer where the Cyber Resilience Act (EU 2024/2847) requires it.

## Which versions get fixes

Security fixes are provided for the latest released version. They are free of charge.

## Known bugs

Serious bugs, especially those with a risk of data loss, are listed in [BEKANNTE-FEHLER.md](BEKANNTE-FEHLER.md) and in the
release notes of the version that fixes them.

---

## Sicherheit (deutsch)

## Eine Schwachstelle melden

Eine Schwachstelle gehört nicht in ein öffentliches Issue. Gemeldet wird sie vertraulich über GitHub: im Repository unter
**Security → Report a vulnerability**. Die Meldung sehen nur der Melder und journali.

Hilfreich sind: betroffene Version (oben in der Leiste der Oberfläche), was sich wie ausnutzen lässt, und ob es schon ausgenutzt wird.

## Was dann geschieht

1. journali bestätigt den Eingang und prüft die Meldung.
2. Die Schwachstelle wird eingestuft und behoben; die Korrektur kommt mit einer neuen Version.
3. Die Release Notes nennen die behobene Schwachstelle; bei Bedarf gibt es eine Kennung (CVE) und eine Sicherheitsmeldung im Repository.
4. Eine aktiv ausgenutzte Schwachstelle meldet journali als Hersteller, soweit der Cyber Resilience Act (EU 2024/2847) das verlangt.

## Welche Versionen Korrekturen bekommen

Sicherheitskorrekturen gibt es für die jeweils neueste veröffentlichte Version. Sie sind kostenlos — auch dann, wenn spätere
Versionen Grenzen gegen Geld einführen.

## Bekannte Fehler

Schwere Fehler, besonders solche mit Gefahr von Datenverlust, stehen in [BEKANNTE-FEHLER.md](BEKANNTE-FEHLER.md) und in den
Release Notes der Version, die sie behebt.