Coordinated Vulnerability Disclosure Policy
Version 01 — in force from 2026-09-09 · Contact: security@solexy.net
Aligned with ISO/IEC 29147 and ISO/IEC 30111 · Cyber Resilience Act (EU) 2024/2847 Annex I Part II (5)(6) · ANATEL Ato nº 77/2021 §6.1.6
1. Impegno
SOLEXY considera la sicurezza dei propri prodotti una priorità. Accogliamo le segnalazioni responsabili di potenziali vulnerabilità e collaboriamo con chi le individua per risolverle e proteggere gli utenti.
2. Ambito
Prodotti coperti: sistema di monitoraggio LoRa — modello LWIM100AU00-050 (AU915) e variante MTXDOT-EU1 (EU868), e relativo firmware. Sono incluse le vulnerabilità di sicurezza dei prodotti e dei servizi digitali associati.
Componenti di terzi (es. il modulo radio MultiTech MTXDOT): le segnalazioni vengono inoltrate e coordinate con il rispettivo fornitore.
3. Come segnalare
E-mail: security@solexy.net
Informazioni utili: descrizione della vulnerabilità e dell’impatto; prodotto e versione firmware/hardware; passi per riprodurre (PoC); configurazione; i vostri riferimenti di contatto. Non includere dati personali o riservati oltre il necessario.
4. Ricerca in buona fede (Safe Harbor)
Non intraprenderemo azioni legali verso chi agisce in buona fede e nel rispetto della presente politica. Chiediamo di:
- non degradare, interrompere o danneggiare servizi/dispositivi né i dati;
- non accedere, modificare o esfiltrare dati altrui oltre il minimo necessario a dimostrare la vulnerabilità;
- non effettuare attacchi DoS, ingegneria sociale, attacchi fisici o verso terzi;
- concedere un tempo ragionevole per la correzione prima di qualsiasi divulgazione pubblica;
- rispettare le leggi applicabili.
Le attività fuori da queste regole non sono coperte dal safe harbor.
5. Nostri impegni e tempistiche (indicative)
| Fase | Tempo obiettivo |
|---|---|
| Conferma di ricezione | entro 5 giorni lavorativi |
| Valutazione iniziale / triage (gravità, es. CVSS) | entro 10 giorni lavorativi |
| Aggiornamenti di stato al segnalante | periodici, fino a risoluzione |
| Aggiornamento di sicurezza | senza indebito ritardo, in funzione della gravità |
| Divulgazione coordinata (advisory) | di norma entro 90 giorni dalla presa in carico, o alla disponibilità della correzione se prima |
| Riconoscimento del segnalante | su suo desiderio, credito nell’advisory |
6. Coordinamento e obblighi normativi
Possibile coordinamento con CSIRT/CERT nazionali e con i fornitori upstream. In caso di vulnerabilità attivamente sfruttata o incidente grave, segnalazione ad ENISA ai sensi del CRA (dal 11/09/2026), con early warning entro 24 ore.
7. Ricompense
Al momento non è previsto un programma di ricompensa economica (bug bounty); offriamo riconoscimento pubblico su richiesta.
8. Advisory di sicurezza
Gli avvisi sulle vulnerabilità corrette, con istruzioni e azioni correttive, sono pubblicati su https://www.solexy.net/security/advisories/.
9. Gestione interna (rif. ISO/IEC 30111)
Ricezione → triage/valutazione gravità → sviluppo correzione → test → rilascio update firmato → advisory → lezioni apprese / aggiornamento SBOM.
1. Commitment
SOLEXY considers the security of its products a priority. We welcome the responsible disclosure of potential vulnerabilities and work together with those who identify them to resolve the issues and protect users.
2. Scope
Products covered: LoRa monitoring system — model LWIM100AU00-050 (AU915) and variant MTXDOT-EU1 (EU868), and their firmware. Security vulnerabilities of the products and associated digital services are included.
Third-party components (e.g. the MultiTech MTXDOT radio module): reports are forwarded to and coordinated with the respective supplier.
3. How to report
E-mail: security@solexy.net
Useful information: description of the vulnerability and its impact; product and firmware/hardware version; steps to reproduce (PoC); configuration; your contact details. Please do not include personal or confidential data beyond what is necessary.
4. Good-faith research (Safe Harbor)
We will not take legal action against anyone acting in good faith and in compliance with this policy. We ask you to:
- not degrade, disrupt or damage services/devices or data;
- not access, modify or exfiltrate others’ data beyond the minimum necessary to demonstrate the vulnerability;
- not perform DoS attacks, social engineering, physical attacks or attacks against third parties;
- allow a reasonable time for remediation before any public disclosure;
- comply with applicable laws.
Activities outside these rules are not covered by the safe harbor.
5. Our commitments and timelines (indicative)
| Phase | Target time |
|---|---|
| Acknowledgement of receipt | within 5 business days |
| Initial assessment / triage (severity, e.g. CVSS) | within 10 business days |
| Status updates to the reporter | periodic, until resolution |
| Security update | without undue delay, depending on severity |
| Coordinated disclosure (advisory) | typically within 90 days of intake, or upon availability of the fix if sooner |
| Reporter acknowledgement | on request, credit in the advisory |
6. Coordination and regulatory obligations
Possible coordination with national CSIRTs/CERTs and with upstream suppliers. In the case of an actively exploited vulnerability or a severe incident, reporting to ENISA under the CRA (from 11/09/2026), with an early warning within 24 hours.
7. Rewards
There is currently no monetary reward program (bug bounty); we offer public acknowledgement on request.
8. Security advisories
Advisories on fixed vulnerabilities, with instructions and corrective actions, are published at https://www.solexy.net/security/advisories/.
9. Internal handling (ref. ISO/IEC 30111)
Receipt → triage/severity assessment → fix development → testing → signed update release → advisory → lessons learned / SBOM update.
1. Compromisso
A SOLEXY considera a segurança dos seus produtos uma prioridade. Acolhemos a divulgação responsável de potenciais vulnerabilidades e trabalhamos em conjunto com quem as identifica para resolvê-las e proteger os usuários.
2. Âmbito
Produtos abrangidos: sistema de monitoramento LoRa — modelo LWIM100AU00-050 (AU915) e variante MTXDOT-EU1 (EU868), e respectivo firmware. Estão incluídas as vulnerabilidades de segurança dos produtos e dos serviços digitais associados.
Componentes de terceiros (ex.: o módulo de rádio MultiTech MTXDOT): os reportes são encaminhados e coordenados com o respectivo fornecedor.
3. Como reportar
E-mail: security@solexy.net
Informações úteis: descrição da vulnerabilidade e do impacto; produto e versão de firmware/hardware; passos para reproduzir (PoC); configuração; seus dados de contato. Não inclua dados pessoais ou confidenciais além do necessário.
4. Pesquisa de boa-fé (Safe Harbor)
Não tomaremos medidas legais contra quem agir de boa-fé e em conformidade com esta política. Pedimos que:
- não degrade, interrompa ou danifique serviços/dispositivos nem os dados;
- não acesse, modifique ou extraia dados de terceiros além do mínimo necessário para demonstrar a vulnerabilidade;
- não realize ataques DoS, engenharia social, ataques físicos ou contra terceiros;
- conceda um prazo razoável para a correção antes de qualquer divulgação pública;
- respeite as leis aplicáveis.
Atividades fora destas regras não são cobertas pelo safe harbor.
5. Nossos compromissos e prazos (indicativos)
| Fase | Prazo-alvo |
|---|---|
| Confirmação de recebimento | em até 5 dias úteis |
| Avaliação inicial / triagem (gravidade, ex. CVSS) | em até 10 dias úteis |
| Atualizações de status ao autor do reporte | periódicas, até a resolução |
| Atualização de segurança | sem atraso indevido, conforme a gravidade |
| Divulgação coordenada (aviso) | em geral em até 90 dias da recepção, ou na disponibilidade da correção se antes |
| Reconhecimento do autor | a pedido, crédito no aviso |
6. Coordenação e obrigações regulatórias
Possível coordenação com CSIRTs/CERTs nacionais e com os fornecedores upstream. No caso de vulnerabilidade ativamente explorada ou incidente grave, reporte à ENISA nos termos do CRA (a partir de 11/09/2026), com early warning em até 24 horas.
7. Recompensas
No momento não há programa de recompensa financeira (bug bounty); oferecemos reconhecimento público a pedido.
8. Avisos de segurança
Os avisos sobre vulnerabilidades corrigidas, com instruções e ações corretivas, são publicados em https://www.solexy.net/seguranca/ e em https://www.solexy.net/security/advisories/.
9. Gestão interna (ref. ISO/IEC 30111)
Recebimento → triagem/avaliação de gravidade → desenvolvimento da correção → testes → liberação de atualização assinada → aviso → lições aprendidas / atualização do SBOM.