برنامهٔ پاداش
آسیب‌پذیری

چگونه کار می‌کند

1. پیدا کنیدبا حساب خودتان، در بخشی که در دامنه است آسیب‌پذیری امنیتی پیدا کنید.
2. گزارش دهیدآن را به‌صورت متن از صفحهٔ «گزارش‌های امنیتی» حساب خود بفرستید: چیست، چگونه بازتولید می‌شود و چه تأثیری دارد.
3. پاداش بگیریدما بررسی می‌کنیم و در صورت نیاز برایتان می‌نویسیم؛ اگر معتبر باشد، بسته به میزان شدت، پاداش را به حساب شما اضافه می‌کنیم یا می‌پردازیم.

محدوده

آسیب‌پذیری‌ها در موارد زیر در محدودهٔ پذیرش هستند:

• colitu.com، app.colitu.com و api.colitu.com
• docs.colitu.com (مرکز راهنما)
• برنامه‌های Windows، Android، Linux و iOS
• افزونهٔ مرورگر
• پیکربندی‌های پروتکل VPN و نشتی‌ها (نشت IP، DNS یا اطلاعات ترافیک)

خارج از محدوده

گزارش‌های زیر را نمی‌پذیریم:

• حملهٔ محرومیت از سرویس (DoS) و آزمون بار
• آزمایش‌هایی که سرورهای فعال یا کاربران دیگر را مختل می‌کنند
• مهندسی اجتماعی
• حمله‌های فیزیکی
• هرزنامه
• سرویس‌های شخص ثالث (مثل ارائه‌دهندگان پرداخت، ایمیل و CDN)
• خروجی اسکنر بدون اثبات تأثیر
• نبود هدرهای امنیتی یا پیشنهادهای بهترین‌روش که تأثیری ندارند
• XSS روی خود (self-XSS)
• گزارش‌هایی که فقط نبود محدودیت نرخ درخواست را ذکر می‌کنند
• مشکلات از پیش شناخته‌شده

قواعد

• فقط با حساب‌های خودتان آزمایش کنید؛ به حساب‌ها یا داده‌های کاربران دیگر دست نزنید.
• در اثبات مفهوم متوقف شوید: فقط به اندازه‌ای که مشکل را نشان دهد پیش بروید و فراتر نروید.
• داده را بیرون نکشید (دانلود، کپی یا نگهداری نکنید).
• برای رفع مشکل 90 روز به ما فرصت بدهید؛ پیش از پایان این مدت یا بدون موافقت ما جزئیات را منتشر نکنید.
• اولین گزارش معتبر برنده است؛ گزارش‌های بعدیِ همان مشکل تکراری به حساب می‌آیند.
• در هر گزارش فقط یک مشکل را شرح دهید.

پناهگاه امن

پژوهشی را که با حسن‌نیت و در چارچوب این قواعد انجام دهید مجاز می‌دانیم. COLITU LIMITED علیه شما به‌خاطر پژوهشی که در این قواعد بماند اقدام قانونی نخواهد کرد. اقدامات خارج از این قواعد مشمول این تعهد نیستند. سیاست افشای مسئولانه →

پاداش‌ها

میزان شدت را ما تعیین می‌کنیم؛ آنچه شما می‌نویسید فقط یک پیشنهاد است. پاداش‌های Pro به حساب شما اضافه می‌شوند. برای موارد بحرانی مبلغ را با توجه به تأثیر تعیین می‌کنیم و در گفتگوی گزارش به شما می‌گوییم؛ از پیش رقم ثابتی قول نمی‌دهیم.

• کم1 ماه Pro

  تأثیر محدود، سوءاستفادهٔ دشوار یا نیازمند تعامل کاربر.

  • افشای اطلاعات غیرحساس.
  • نقص منطقی جزئی که به تعامل کاربر نیاز دارد.
• متوسط3 ماه Pro

  داده‌ها یا اقدامات یک کاربر را به‌طور محدود تحت تأثیر قرار می‌دهد.

  • XSS ذخیره‌شده در صفحه‌ای از حساب (قابل‌مشاهده برای کاربر دیگر).
  • مشاهدهٔ بخشی از داده‌های کاربری دیگر.
• زیاد12 ماه Pro

  دسترسی به داده‌های حساب‌های دیگر، اطلاعات اتصال VPN یا حقوق طرح را ممکن می‌کند.

  • دسترسی به حساب کاربری دیگر یا اطلاعات اتصال VPN او.
  • دریافت Pro رایگان با دور زدن پرداخت یا بررسی‌های طرح.
• بحرانیپاداش نقدی

  از راه دور قابل سوءاستفاده است و کل سامانه یا همهٔ کاربران را تحت تأثیر قرار می‌دهد.

  • اجرای کد از راه دور بدون احراز هویت.
  • دسترسی به همهٔ داده‌های کاربران یا نشتی‌ای که تعهد «بدون ثبت لاگ» ما را نقض کند.

تالار افتخار

برای گزارش‌های پذیرفته‌شده، اگر بخواهید، نامی که انتخاب کرده‌اید اینجا منتشر می‌شود.

هنوز موردی ثبت نشده است.