Responsabil de securitate / Security lead: Eduard Pascanu, fondator și administrator, Corp Mark S.R.L. (București).
Raportări de securitate: owner@corpmarksrl.com
In short
Corp Mark S.R.L. builds and maintains custom business software (CRM, ERP, booking, invoicing) for small and medium companies. The security function is one person, the security lead named above. We do not hold ISO/IEC 27001 or SOC 2 certifications. Below is what we actually do, and how to report a vulnerability. The full English version is further down this page.
Ce acoperim
Securitatea sistemelor pe care Corp Mark le deține sau le operează: produsele și instrumentele proprii, și aplicațiile pe care le-am construit și le administrăm pentru clienți, cu acordul lor. Munca de securitate se face doar pe aceste sisteme; nu testăm activ sisteme ale terților și nu oferim servicii de securitate ca produs separat.
Practici
- Secrete (regula noastră): cheile, tokenurile și parolele nu se pun în cod sau în repo-uri.
- Acces la date: la sistemele cu bază de date, permisiunile se impun pe server, prin reguli la nivel de rând, nu doar în interfață.
- Verificare înainte de livrare: la sistemul ERP livrat, verificări automate de sintaxă și teste, plus o recenzie adversarială asistată de AI pe schimbările care ating bani, acces sau date personale, verificată de responsabilul de securitate.
- Lucru cu asistenți AI: folosim asistenți AI (Anthropic Claude) la scrierea și analiza codului, inclusiv pe sistemele pe care le întreținem pentru clienți. Asistentul vede codul și, la verificările pe baza reală, rezultatele interogărilor, deci și date ale clientului. Schimbările propuse de asistent le verifică responsabilul de securitate.
- Copii de siguranță: la sistemul ERP livrat, exporturile vin cu manifest (număr de rânduri și amprente), ca o restaurare să poată fi verificată.
- Date personale: vezi pagina GDPR.
Remedieri de securitate
Ce am găsit și am reparat în sistemele noastre. Publicăm doar ce e deja reparat și pus în funcțiune.
- 24 octombrie 2026 — Stanley OS (consola internă prin care lucrăm cu asistenți AI), găsite, printre altele, la un review de securitate intern:
- Garda rulărilor automate trata ca simplă citire o comandă PowerShell cu o expresie între paranteze, care putea scrie sau executa. Acum orice astfel de comandă cere confirmare. Severitate medie.
- Evenimentele de lucru salvate în baza de date nu treceau prin filtrul de secrete, cum treceau transcrierile. Acum trec. Severitate medie.
- Lista de fișiere pe care rulările automate nu le pot citi singure cuprinde acum și transcrierile altor sesiuni și credențialele unor unelte cloud. Severitate medie.
- Dependențe actualizate, între ele Next.js 16.4.3, care repară o vulnerabilitate critică dintr-o componentă pe care nu o folosim. După actualizare,
npm auditnu mai raportează nicio vulnerabilitate.
In English: on 24 October 2026 an internal security review of Stanley OS, our internal console for working with AI assistants, found, among other issues, three of medium severity that are now fixed and deployed: a command guard bypass, secrets stored unredacted in an event log, and a list of files automated runs may not read on their own that missed other sessions' transcripts and cloud-tool credentials. Outdated dependencies were updated as well. We publish only issues that are already fixed and deployed.
Stanley OS: cum lucrez cu asistenți AI
Stanley OS e sistemul meu intern pentru lucrul cu Claude Code. Comenzile riscante ale rulărilor automate așteaptă aprobarea mea, iar evenimentele și transcrierile trec printr-un filtru de secrete înainte să ajungă în baza de date. Pe 24 octombrie 2026 am făcut o recenzie de securitate defensivă a codului lui; pe acest site apare doar ce e deja reparat și pus în funcțiune.
Cum raportezi o vulnerabilitate
Scrie la owner@corpmarksrl.com cu ce ai găsit, pașii de reproducere și sistemul afectat. Raportările sunt citite personal de responsabilul de securitate. Te rugăm să nu accesezi date care nu sunt ale tale și să ne dai timp să reparăm înainte de a publica. Aceeași adresă e în security.txt.
Scope
Security of the systems Corp Mark owns or operates: our own products and tools, and the applications we have built and administer for clients, with their consent. Security work is done only on these systems; we do not actively test third-party systems and we do not offer security services as a separate product.
Practices
- Secrets (our rule): keys, tokens and passwords are not put in code or repositories.
- Data access: on systems with a database, permissions are enforced on the server through row-level rules, not only in the interface.
- Checks before delivery: on the ERP system we delivered, automated syntax checks and tests, plus an AI-assisted adversarial review of changes that touch money, access or personal data, checked by the security lead.
- Working with AI assistants: we use AI assistants (Anthropic Claude) to write and analyse code, including on the systems we maintain for clients. The assistant sees the code and, during checks on live data, the query results, which include client data. Changes proposed by the assistant are checked by the security lead.
- Backups: on the ERP system we delivered, exports come with a manifest (row counts and fingerprints), so a restore can be verified.
- Personal data: see the GDPR page (it opens in Romanian; use the EN switch at the top).
Stanley OS: how I work with AI assistants
Stanley OS is my internal system for working with Claude Code. Risky commands from automated runs wait for my approval, and events and transcripts go through a secret filter before they reach the database. On 24 October 2026 I ran a defensive security review of its code; on this site I publish only what is already fixed and deployed.
How to report a vulnerability
Write to owner@corpmarksrl.com with what you found, the steps to reproduce it and the affected system. Reports are read personally by the security lead. Please do not access data that is not yours, and give us time to fix the issue before publishing. The same address is listed in security.txt.
CORP MARK S.R.L. · CUI 48992388 · J40/19979/2023
Domeniile folosite de Corp Mark: corp-mark.com (site), corpmarksrl.com (email, inclusiv raportări de securitate), corpmarkproject.com (demo-uri și email de outreach).
Domains used by Corp Mark: corp-mark.com (website), corpmarksrl.com (email, including security reports), corpmarkproject.com (demos and outreach email).
Actualizat: 26 octombrie 2026 · Updated: 26 October 2026.