Program nagród za wykrywanie luk w zabezpieczeniach
Bezpieczeństwo jest priorytetem w Talentpilot. Cenimy pracę niezależnych badaczy bezpieczeństwa i doceniamy odpowiedzialne zgłoszenia, które pomagają chronić użytkowników, klientów i systemy.
Odpowiedzialne ujawnianie luk
Nasz program nagród za wykrywanie luk ma zachęcać do odpowiedzialnego zgłaszania podatności. Jeśli uważasz, że znaleziony problem bezpieczeństwa dotyczy Talentpilot, zgłoś go nam jak najszybciej.
Prosimy wszystkich badaczy o działanie w dobrej wierze, unikanie naruszeń prywatności i zakłóceń naszych usług oraz zapewnienie nam rozsądnego czasu na zbadanie i usunięcie zgłoszonych problemów przed ich publicznym ujawnieniem.
Kontakt
Zgłoszenia dotyczące bezpieczeństwa wysyłaj na adres:
security@talentpilot.comPodaj preferowany sposób kontaktu i informację, czy chcesz otrzymać publiczne podziękowanie.
Nasze dane kontaktowe dotyczące bezpieczeństwa są również dostępne pod adresem:
app.talentpilot.com/.well-known/security.txtCo obejmuje program
Kwalifikują się wyłącznie podatności dotyczące systemów będących własnością Talentpilot, obsługiwanych przez Talentpilot lub wyraźnie wskazanych przez Talentpilot. Obecnie program obejmuje następujący zasób:
Jakich problemów szukamy, a jakich nie
Lista nie jest wyczerpująca. Jeśli uważasz, że problem ma rzeczywisty wpływ na bezpieczeństwo, zachęcamy do zgłoszenia.
Kwalifikujące się podatności
- ✓Obejście uwierzytelniania lub autoryzacji
- ✓Podatności umożliwiające przejęcie konta
- ✓Zdalne wykonanie kodu
- ✓Fałszowanie żądań po stronie serwera (SSRF)
- ✓Wstrzyknięcie SQL
- ✓Cross-site scripting (XSS) o istotnym wpływie na bezpieczeństwo
- ✓Cross-site request forgery (CSRF) o istotnym wpływie na bezpieczeństwo
- ✓Ujawnienie danych wrażliwych
- ✓Eskalacja uprawnień
- ✓Podatności w logice biznesowej o wyraźnym wpływie
- ✓Niezabezpieczone bezpośrednie odwołania do obiektów (IDOR)
- ✓Błędna konfiguracja zabezpieczeń ujawniająca wrażliwe systemy lub dane
Zasadniczo poza zakresem
- ×Podatności w usługach podmiotów trzecich, których Talentpilot nie obsługuje
- ×Zgłoszenia oparte wyłącznie na wynikach automatycznego skanera, bez działającego dowodu możliwości wykorzystania
- ×Brak nagłówków bezpieczeństwa bez wykazanego wpływu
- ×Clickjacking na stronach bez działań wrażliwych
- ×Self-XSS bez realistycznego scenariusza ataku
- ×Socjotechnika, phishing lub ataki fizyczne
- ×Spam, ataki brute-force lub testowanie limitów żądań, które mogą zakłócać usługi
- ×Problemy wymagające złośliwego oprogramowania, skradzionych danych logowania lub przejętych urządzeń
- ×Podatności dotyczące przestarzałych przeglądarek lub nieobsługiwanych platform
- ×Publicznie znane podatności bez dowodów, że dotyczą naszych systemów
- ×Ujawnienie niewrażliwych metadanych lub informacji o wersji bez możliwości wykorzystania do ataku
- ×Ataki typu odmowa usługi lub wyczerpanie zasobów
- ×Enumeracja kryptograficznie losowych, niemożliwych do odkrycia identyfikatorów bez praktycznej metody uzyskania lub przewidzenia identyfikatorów innych użytkowników.
Podczas testowania musisz
- ✓Korzystać wyłącznie z własnych kont lub kont, do których masz wyraźne upoważnienie
- ✓Unikać dostępu do cudzych danych, ich modyfikowania, usuwania lub wyprowadzania
- ✓Natychmiast przerwać testy w razie natrafienia na dane wrażliwe i zgłosić nam ten fakt
- ✓Unikać zakłócania, pogarszania działania lub uszkadzania naszych usług
- ✓Unikać zautomatyzowanych testów na dużą skalę bez wyraźnej zgody
- ✓Unikać socjotechniki, phishingu i ataków na naszych pracowników, użytkowników lub partnerów
- ✓Zachować poufność szczegółów podatności do zakończenia naszej analizy i usunięcia problemu
Co zawiera dobre zgłoszenie
Podaj wystarczająco dużo szczegółów, aby nasz zespół mógł odtworzyć i zweryfikować problem.
Jasny opis
Jasny opis podatności.
Zasób objęty problemem
Adres URL, punkt końcowy, produkt lub funkcja, których dotyczy problem.
Kroki odtworzenia
Instrukcja odtworzenia problemu krok po kroku.
Dowód możliwości wykorzystania
Przykład potwierdzający możliwość wykorzystania, zrzuty ekranu lub nagranie, jeśli są pomocne.
Wpływ na bezpieczeństwo
Potencjalny wpływ podatności na bezpieczeństwo.
Proponowana poprawka
Proponowany sposób usunięcia problemu, jeśli jest dostępny.
Zapewniamy ci ochronę
Nie podejmiemy kroków prawnych wobec badaczy bezpieczeństwa działających w dobrej wierze i zgodnie z tą polityką. Jeśli nie masz pewności, czy dane działanie jest dozwolone, skontaktuj się z nami przed jego podjęciem.
- ✓Przestrzegaj tej polityki
- ✓Nie wyrządzaj szkód użytkownikom, klientom, pracownikom, systemom ani danym
- ✓Niezwłocznie zgłaszaj odkryte podatności
- ✓Nie wykorzystuj problemu w zakresie wykraczającym poza to, co jest konieczne do wykazania wpływu
- ✓Nie ujawniaj go publicznie przed usunięciem przez nas problemu lub uzyskaniem pisemnej zgody
Nagrody, ujawnienie i podziękowania
Nagrody
Kwalifikujące się zgłoszenia mogą otrzymać nagrodę według naszego uznania, zależnie od wagi, wpływu, możliwości wykorzystania, jakości zgłoszenia i tego, czy problem był nam wcześniej znany. Zgłoszenia o niewielkim wpływie, powtórzone, spoza zakresu, niemożliwe do odtworzenia lub oparte wyłącznie na skanerze mogą nie otrzymać nagrody.
Ujawnienie
Prosimy nie ujawniać podatności publicznie bez naszej pisemnej zgody. Dążymy do jasnej komunikacji przez cały proces, a publiczne ujawnienie można uzgodnić po usunięciu problemu.
Podziękowania
Za twoją zgodą możemy wyróżnić zasadne zgłoszenia na stronie z podziękowaniami za wkład w bezpieczeństwo. Poinformuj nas, czy chcesz otrzymać podziękowanie i jakiego imienia i nazwiska, pseudonimu lub linku mamy użyć.
Informacja prawna
Ta polityka nie udziela zgody na dostęp do cudzych danych, ich modyfikowanie, niszczenie ani ujawnianie. Nie upoważnia też do testowania systemów podmiotów trzecich, klientów, partnerów, dostawców ani infrastruktury niewskazanej wyraźnie w zakresie programu. Uczestnicząc w programie, zobowiązujesz się przestrzegać tej polityki i wszystkich obowiązujących przepisów.
Podziękowania za wkład w bezpieczeństwo
Dziękujemy poniższym badaczom bezpieczeństwa za odpowiedzialne zgłoszenie rzeczywistych luk w zabezpieczeniach.
- Enis Getmez (https://www.linkedin.com/in/enisgetmez/)
- Paramjeet Singh Thiara (pjst63@gmail.com)
- Tumwine Cathbert (https://www.linkedin.com/in/tumwinecathbert/)
