Σχετικά με το πρόγραμμα
Η ασφάλεια αποτελεί ύψιστη προτεραιότητα για την Pionew Ireland Limited («PIL»), η οποία δραστηριοποιείται ως Webot EU. Για τον εντοπισμό ευπαθειών και τη βελτίωση των υπηρεσιών, η PIL λειτουργεί αυτό το πρόγραμμα για ερευνητές ασφάλειας.
Αξιολογούμε τα ζητήματα βάσει του αντίκτυπου σε χρήστες και περιουσιακά στοιχεία. Οι ανταμοιβές καταβάλλονται σε USDC μετά την αποδοχή της αναφοράς.
Επιλέξιμες είναι μόνο λεπτομερείς αναφορές με πλήρη, λειτουργική απόδειξη ιδέας. Η PIL μπορεί να δώσει πρόσθετη ανταμοιβή για σοβαρό ζήτημα με ακραίο αντίκτυπο.
Για αναφορά, ανταμοιβή ή ερώτηση επικοινωνήστε στο security@webot.eu.
Πεδίο εφαρμογής
Εντός πεδίου
• *.webot.com
Ανταμοιβές
Μετά την αποδοχή δώστε:
• Τον λογαριασμό σας webot.eu
• Τη διεύθυνση πορτοφολιού USDC
Επίπεδα σοβαρότητας και εύρος ανταμοιβών
Οι ανταμοιβές εξαρτώνται από τη σοβαρότητα και τον αντίκτυπο. Τα εύρη και παραδείγματα ακολουθούν.
| Σοβαρότητα | Εύρος ανταμοιβής | Ενδεικτικά επιλέξιμα ζητήματα |
|---|---|---|
| P1 | 1,000 USDC | • Υπονόμευση της ασφάλειας περιουσιακών στοιχείων χρηστών • Παράκαμψη εφαρμογών ή διαδικασιών στην κανονική διαπραγμάτευση • Απομακρυσμένη πρόσβαση σε βασικά δεδομένα χρήστη ή ελέγχου ταυτότητας • Δημιουργία κλειδιών, κρυπτογράφηση, αποκρυπτογράφηση, υπογραφή ή επαλήθευση |
| P2 | 500 USDC | • Διαρροή πληροφοριών υψηλού κινδύνου • Αντίκτυπος παρόμοιος με P1 υπό προϋποθέσεις |
| P3 | 250 USDC | • Διαρροή δεδομένων μέσω αλληλεπίδρασης ή οικονομικής απάτης • Αδυναμία της PIL να απαντήσει μέσω ιστού ή εφαρμογής |
| P4 | 125 USDC | • Ελαττώματα σχεδιασμού χωρίς επίδραση στην ασφάλεια περιουσιακών στοιχείων • Άρνηση βασικών υπηρεσιών της PIL |
Για ζήτημα χωρίς αντίκτυπο επικοινωνήστε με την Υποστήριξη Webot.
Αναφορές χωρίς ανταμοιβή
Δεν είναι επιλέξιμα:
• Θεωρητικές ευπάθειες χωρίς απόδειξη ιδέας
• Σφάλματα επαλήθευσης email, λήξη συνδέσμων επαναφοράς και πολιτικές πολυπλοκότητας κωδικών
• Μη έγκυρες ή ελλιπείς εγγραφές SPF ή ρυθμίσεις SPF, DKIM ή DMARC
• Clickjacking ή UI redressing με ελάχιστο αντίκτυπο
• Απαρίθμηση email ή κινητών μέσω επαναφοράς κωδικού
• Διαρροή πληροφοριών ελάχιστου αντίκτυπου, όπως stack traces, διαδρομές, κατάλογοι ή αρχεία καταγραφής
• Εσωτερικά γνωστά, επαναλαμβανόμενα ή δημοσιευμένα ζητήματα
• Tabnabbing
• Self-XSS
• Ευπάθειες μόνο σε παλιές εκδόσεις προγραμμάτων περιήγησης ή πλατφορμών
• Ευπάθειες αυτόματης συμπλήρωσης φορμών
• Γνωστές ευάλωτες βιβλιοθήκες χωρίς απόδειξη
• Έλλειψη χαρακτηριστικών ασφαλείας cookies
• Μη ασφαλείς σουίτες κρυπτογράφησης ή εκδόσεις SSL/TLS
• Παραποίηση περιεχομένου
• Ζητήματα ελέγχου προσωρινής μνήμης
• Έκθεση εσωτερικών IP ή τομέων
• Έλλειψη κεφαλίδων χωρίς άμεση εκμετάλλευση
• CSRF αμελητέου αντίκτυπου, όπως αγαπημένα ή μη ουσιώδεις συνδρομές
• Ευπάθειες που απαιτούν root ή jailbreak
• Ευπάθειες που απαιτούν φυσική πρόσβαση σε συσκευή
• Ζητήματα χωρίς αντίκτυπο, όπως αποτυχία φόρτωσης σελίδας
Όροι και προϋποθέσεις
• Η PIL αποφασίζει οριστικά και μπορεί κατά τη διακριτική της ευχέρεια να τερματίσει ή να αλλάξει ανταμοιβές ή κανόνες.
• Ανταμείβεται μόνο η πρώτη επαληθευμένη αναφορά συγκεκριμένου ζητήματος. Μεταγενέστερες ίδιες ή παρόμοιες αναφορές δεν ανταμείβονται.
• Οι αναφορές εξετάζονται συνήθως εντός μίας έως δύο εβδομάδων. Η PIL καθορίζει το αποτέλεσμα.
• Η ανταμοιβή αποστέλλεται στον λογαριασμό PIL ή στο πορτοφόλι εντός δύο εβδομάδων από την έγκριση και επαλήθευση. Θα ενημερωθείτε με email.
• Ερευνητές που επιτίθενται στην PIL ή βοηθούν άλλους δεν είναι επιλέξιμοι.