Program odměn za odhalení bezpečnostních chyb
Bezpečnost je v Talentpilotu jednou z hlavních priorit. Vážíme si práce nezávislých bezpečnostních výzkumníků a odpovědných hlášení, která nám pomáhají chránit uživatele, zákazníky a systémy.
Odpovědné oznamování zranitelností
Cílem programu odměn za odhalení bezpečnostních chyb je podporovat odpovědné oznamování zranitelností. Pokud se domníváte, že jste odhalili bezpečnostní problém ovlivňující Talentpilot, oznamte nám ho co nejdříve.
Žádáme všechny výzkumníky, aby jednali v dobré víře, nezasahovali do soukromí, nenarušovali naše služby a před zveřejněním nám poskytli přiměřený čas na prošetření a nápravu nahlášených problémů.
Kontakt
Bezpečnostní hlášení posílejte na:
security@talentpilot.comUveďte preferovaný způsob kontaktu a zda si přejete veřejné poděkování.
Naše bezpečnostní kontakty jsou zveřejněné také na:
app.talentpilot.com/.well-known/security.txtCo program zahrnuje
Způsobilé jsou pouze zranitelnosti ovlivňující systémy, které Talentpilot vlastní, provozuje nebo výslovně uvádí. Program nyní zahrnuje tento cíl:
Co hledáme a co do programu nepatří
Tento seznam není vyčerpávající. Pokud podle vás problém představuje skutečné bezpečnostní riziko, doporučujeme ho nahlásit.
Způsobilé zranitelnosti
- ✓Obejití autentizace nebo autorizace
- ✓Zranitelnosti umožňující převzetí účtu
- ✓Vzdálené spuštění kódu
- ✓Podvržení požadavků na straně serveru (SSRF)
- ✓SQL injection
- ✓Cross-site scripting s významným bezpečnostním dopadem
- ✓Cross-site request forgery s významným bezpečnostním dopadem
- ✓Zpřístupnění citlivých dat
- ✓Eskalace oprávnění
- ✓Zranitelnosti aplikační logiky s jasným dopadem
- ✓Nezabezpečené přímé odkazy na objekty
- ✓Chybná bezpečnostní nastavení zpřístupňující citlivé systémy nebo data
Obvykle mimo rozsah programu
- ×Zranitelnosti služeb třetích stran, které Talentpilot neprovozuje
- ×Hlášení založená pouze na výstupu automatického skeneru bez funkčního důkazu zneužitelnosti
- ×Chybějící bezpečnostní hlavičky bez prokázaného dopadu
- ×Clickjacking na stránkách bez citlivých operací
- ×Self-XSS bez realistického scénáře útoku
- ×Sociální inženýrství, phishing nebo fyzické útoky
- ×Spam, útoky hrubou silou nebo testování limitů požadavků, které mohou narušit služby
- ×Problémy vyžadující malware, odcizené přihlašovací údaje nebo kompromitovaná zařízení
- ×Zranitelnosti zastaralých prohlížečů nebo nepodporovaných platforem
- ×Veřejně známé zranitelnosti bez důkazu, že se týkají našich systémů
- ×Zveřejnění necitlivých metadat nebo údajů o verzích bez možnosti zneužití
- ×Útoky odepřením služby nebo vyčerpáním zdrojů
- ×Enumerace kryptograficky náhodných, nezjistitelných identifikátorů bez praktického způsobu získání nebo předpovědi identifikátorů jiných uživatelů.
Při testování musíte
- ✓Používat pouze účty, které vlastníte nebo k jejichž použití máte výslovné svolení
- ✓Vyhnout se přístupu k cizím datům i jejich úpravám, mazání a exfiltraci
- ✓Okamžitě přestat testovat, pokud narazíte na citlivá data, a oznámit nám to
- ✓Nenarušovat, nezhoršovat ani nepoškozovat naše služby
- ✓Neprovádět automatické testování ve velkém objemu bez výslovného schválení
- ✓Vyhnout se sociálnímu inženýrství, phishingu a útokům na naše zaměstnance, uživatele a partnery
- ✓Udržet podrobnosti o zranitelnosti v tajnosti do dokončení šetření a nápravy
Co obsahuje kvalitní hlášení
Uveďte dostatek podrobností, aby náš tým mohl problém zopakovat a ověřit.
Jasný popis
Srozumitelný popis zranitelnosti.
Dotčený cíl
Dotčená adresa URL, koncový bod, produkt nebo funkce.
Postup reprodukce
Pokyny krok za krokem k zopakování problému.
Důkaz zneužitelnosti
Důkaz zneužitelnosti, případně snímky obrazovky nebo video.
Bezpečnostní dopad
Potenciální bezpečnostní dopad zranitelnosti.
Návrh nápravy
Případné doporučení, jak problém napravit.
Stojíme za vámi
Nebudeme podnikat právní kroky proti bezpečnostním výzkumníkům, kteří jednají v dobré víře a dodržují tato pravidla. Pokud si nejste jisti, zda je konkrétní krok povolený, předem nás kontaktujte.
- ✓Dodržujte tato pravidla
- ✓Nezpůsobujte újmu uživatelům, zákazníkům, zaměstnancům, systémům ani datům
- ✓Nalezené zranitelnosti oznamujte bezodkladně
- ✓Nevyužívejte problém nad rámec nezbytný k prokázání dopadu
- ✓Nic nezveřejňujte, dokud problém nevyřešíme nebo neposkytneme písemné svolení
Odměny, zveřejnění a poděkování
Odměny
Způsobilá hlášení mohou podle našeho uvážení získat odměnu na základě závažnosti, dopadu, zneužitelnosti, kvality hlášení a toho, zda jsme o problému již věděli. Hlášení s malým dopadem, duplicitní, mimo rozsah programu, nereprodukovatelná nebo založená jen na skeneru nemusí být odměněna.
Zveřejnění
Zranitelnost prosím nezveřejňujte bez našeho písemného svolení. Usilujeme o jasnou komunikaci během celého procesu a po vyřešení problému se můžeme na zveřejnění společně domluvit.
Poděkování
S vaším svolením můžeme platná hlášení uvést na stránce s poděkováním bezpečnostním výzkumníkům. Dejte nám vědět, zda si přejete být uvedeni a jaké jméno, přezdívku či odkaz máme použít.
Právní upozornění
Tato pravidla neopravňují k přístupu k cizím datům ani k jejich úpravám, ničení nebo zveřejnění. Neopravňují ani k testování systémů třetích stran, zákazníků, partnerů, dodavatelů či infrastruktury, které nejsou výslovně zahrnuté do programu. Účastí v programu souhlasíte s dodržováním těchto pravidel a všech příslušných právních předpisů.
Poděkování bezpečnostním výzkumníkům
Děkujeme následujícím bezpečnostním výzkumníkům za odpovědné nahlášení ověřených bezpečnostních zranitelností.
- Enis Getmez (https://www.linkedin.com/in/enisgetmez/)
- Paramjeet Singh Thiara (pjst63@gmail.com)
- Tumwine Cathbert (https://www.linkedin.com/in/tumwinecathbert/)
