Gwendidau a Gwobrau

Rydym yn talu gwobrau am wendidau a ddarganfyddir neu faterion sy'n ymwneud â diogelwch. Er mwyn cael eich talu, rhaid i'r canlynol fod yn wir.

#1 Rhaid i'r gwendid fod yn unigryw 
Os cawn nifer o adroddiadau, y cyntaf i adrodd fydd yn cael y wobr. Gallwn dalu, yn ôl ein disgresiwn, ffioedd hysbysu eilaidd enwol i annog darganfod pellach yn y dyfodol.

#2 Rhaid i'r gwendid fod yn atgynhyrchadwy
Ni fyddwn yn talu am unrhyw wendid na ellir ei atgynhyrchu. Ni fyddwn yn talu gwobrau am fideos YouTube sy'n dangos gwendid na ellir ei atgynhyrchu.

#3 Rhaid cael senario ymosod
Rhaid i'r ymosodiad allu cael ei ddosbarthu trwy ein systemau ni. Esboniwch y gallu i ddosbarthu. Er enghraifft, ni fyddai defnyddio ein API ac yna ysgrifennu sgriptiau maleisus yn cyfrif, gan na fyddai hynny'n wahanol i ysgrifennu tudalen gyda sgriptiau maleisus.
 

Sut mae symiau'r gwobrau'n cael eu pennu

Mae gan bob categori uchod ystod taliadau. Mae lle mae adroddiad dilys yn syrthio o fewn ei ystod yn dibynnu ar dri ffactor:

Y fraint sydd ei hangen i fanteisio arno. Mae chwilod nad ydynt yn gofyn am ddilysu ar frig yr ystod. Mae chwilod sy'n gofyn am ddefnyddiwr wedi'i ddilysu yn y canol. Mae chwilod sy'n gofyn am gyd-destun breintiedig (gweinyddwr tîm, perchennog tîm, cynllun taledig, staff mewnol) ar waelod yr ystod.

Radiws y niwed. Mae gwendidau sy'n effeithio ar bob defnyddiwr neu bob map yn talu mwy na gwendidau sy'n effeithio ar un cyfrif neu un tîm y mae'r ymosodwr eisoes yn perthyn iddo.

Gwrthdroadwyedd. Mae niwed y gall y defnyddiwr yr effeithir arno ei ddadwneud trwy lifoedd gwaith arferol (er enghraifft, ailosod cyfrinair) yn talu llai na niwed sy'n parhau neu sy'n gofyn am ein hymyrraeth ni i'w ddadwneud.

Mae ansawdd yr adroddiad hefyd yn cyfrif. Gall adroddiad clir gyda phrawf cysyniad gweithredol, dadansoddiad o'r prif achos, ac awgrym ar gyfer ei unioni ennill brig yr ystod hyd yn oed pan fyddai'r effaith dechnegol yn unig yn glanio yng nghanol yr ystod. Gall adroddiadau blêr neu ddamcaniaethol ennill y gwaelod.

Y tu allan i'r cwmpas

Nid yw'r canlynol yn gymwys i gael gwobr:

Mapiau cymunedol dienw. Mae mapiau heb berchennog y gall unrhyw un eu golygu yn nodwedd gymunedol hirsefydlog. Nid yw cadw dros fap dienw yn wendid.

Mapiau Heb eu restru (URL fel tystlythyr). Mae mapiau heb LockView yn hygyrch yn fwriadol i unrhyw un sy'n gwybod yr URL, yn debyg i fideo YouTube heb ei restru. Mae cyrchu neu gadw map o'r fath trwy wybod ei god map yn fwriadol.

Meddalwedd trydydd parti a gynhelir gennym ond nad ydym yn ei gynnal. Problemau yn GeoServer, Tomcat, neu stociau trydydd parti eraill a ddefnyddir ochr yn ochr â'n gwasanaethau. Rhowch wybod am y rhain i'r cynhalwyr perthnasol yn y ffynhonnell.

Penawdau diogelwch coll heb senario ymosod pendant. Nid yw adroddiadau am CSP, X-Frame-Options, HSTS, ac ati heb gamfanteisio gweithredol yn gymwys.

Cyfyngu cyfradd ar ei ben ei hun. Diffyg cyfyngu cyfradd ar bwyntiau terfyn lle nad yw cyfyngu cyfradd yn hanfodol i ddiogelwch, heb senario camdriniaeth wedi'i ddangos.

Defnyddio AI

Rydym yn defnyddio AI i wneud dilysu cychwynnol ar gyfer didoli. Weithiau mae'n gwneud camgymeriadau; rydym yn gwneud adolygiadau gan bobl ar bob un, ond os ydych yn credu bod yr AI wedi gwneud camgymeriad mawr ar y dechrau, ychwanegwch nodyn at y cyflwyniad gyda rhagor o gyd-destun ac ati..compromise any

Defnyddio Burp / Pwyntiau terfyn

Rydym yn defnyddio offer fel burp ar gyfer sganiau cyflym. Yn gyffredinol, byddai'n well gennym pe na baech yn gwneud y sganiau hyn arnom ni, gan fod anfon miloedd o geisiadau yn rhoi llwyth diangen ar ein gweinyddion. 

Er mwyn arbed amser i chi, dyma rai pwyntiau terfyn: 

https://www.scribblemaps.com/ 
(Os gwnewch sgan, blociwch y llwybr /maps/ gan y bydd hyn yn anfon sganwyr i lawr twll cwningen) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Taliadau

Nid oes unrhyw sicrwydd ynghylch amserlenni talu. Rydym yn neilltuo cyllideb fisol, gyda materion difrifol bob amser yn cael eu talu gyntaf. Rydym ond yn gwneud taliadau trwy wise neu paypal.
 

Fforffedu Gwobr

Mae dilysu neu dderbyn adroddiad yn sefydlu cymhwysedd ar gyfer gwobr, nid hawl ddiamod i un. Gall ScribbleMaps leihau neu atal gwobr yn gyfan gwbl neu'n rhannol pan fydd ymddygiad ymchwilydd yn torri'r telerau hyn neu egwyddorion datgelu cydgysylltiedig mewn ewyllys da. Mae fforffedu yn ôl disgresiwn ScribbleMaps; caiff y rheswm ei gofnodi ar yr adroddiad a'i gyfleu i'r ymchwilydd.

Gellir fforffedu gwobr a fyddai fel arall yn daladwy am unrhyw un o'r canlynol:

1. Datgelu cyhoeddus cynamserol neu fygythiedig. Datgelu'r gwendid — neu fygwth ei ddatgelu — yn gyhoeddus, i drydydd partïon, neu trwy sianeli cyfryngau/cymdeithasol cyn i ScribbleMaps unioni'r mater ac awdurdodi datgelu. Mae datgelu cydgysylltiedig yn amod o'r rhaglen.
2. Gorfodaeth, almaeth, neu aflonyddu. Gwneud peidio â datgelu yn amodol ar daliad; bygwth neu bwyso ar staff; neu ddefnyddio sianeli cymorth, bilio, neu adroddwyr i fynnu taliad dro ar ôl tro neu'n gamdriniol. Dylid codi cwestiynau am statws gwobr trwy'r porth gwobrau, a bydd ScribbleMaps yn eu hateb.
3. Hunaniaethau lluosog neu ddyblyg. Gweithredu mwy nag un cyfrif ymchwilydd, neu gyfeirio gwobrau ar gyfer cyfrifon ar wahân i gyfeiriad talu a rennir, er mwyn chwyddo nifer y cyflwyniadau neu'r gwobrau.
4. Cydgynllwynio neu ganfyddiadau a gynhyrchwyd yn artiffisial. Cydlynu cyflwyniadau ar draws cyfrifon, defnyddio cyfrif neu fapiau cyfranogwr arall fel y “dioddefwr” mewn prawf cysyniad, neu gynhyrchu cyflwr data na all y cynnyrch ei gynhyrchu ac yna dyfynnu'r data o ganlyniad fel gollyngiad.
5. Sbam ymdrech isel neu awtomataidd. Cyflwyniadau swmp o allbwn sganiwr awtomataidd, rhestrau llyfrgelloedd/CVE hen ffasiwn, neu eitemau y gwyddys eu bod y tu allan i'r cwmpas (gweler Y tu allan i'r cwmpas) heb gamfanteisio penodol i ScribbleMaps wedi'i ddangos.
6. Profi niweidiol neu anghyfreithlon. Cyrchu, newid, neu gael data defnyddwyr eraill allan y tu hwnt i'r isafswm sydd ei angen i ddangos y mater; diraddio neu wadu gwasanaeth; peirianneg gymdeithasol yn erbyn staff neu ddefnyddwyr; neu unrhyw weithgarwch a waherddir gan gwmpas y rhaglen neu'r gyfraith berthnasol.
7. Camliwio neu dwyll. Ffugio camau atgynhyrchu, tystiolaeth, dyddiadau darganfod, neu hunaniaeth.

Nodiadau.

• Gall fforffedu fod yn rhannol (gwobr is) neu'n llawn ($0).
• Nid yw adroddiad dilys a fforffedir am gamymddwyn yn gymwys eto ar gyfer yr un canfyddiad.
• Mae'r telerau hyn yn berthnasol o'r eiliad y cyflwynir adroddiad ac fe'u hailddatgenir yn yr hysbysiad derbyn a anfonir pan dderbynnir adroddiad.

I Gyflwyno Adroddiad

Ewch i: https://api.scribblemaps.com/vulnerabilities

Mae'r wefan hefyd yn cynnwys cyfarwyddiadau ar sut i gyflwyno adroddiadau trwy AI. Rhaid i chi fewngofnodi i gyflwyno adroddiad.

Pwyntiau cyfreithiol

Ni allwn roi gwobrau i unigolion sydd ar restrau sancsiynau, neu sydd mewn gwledydd (e.e. Ciwba, Iran, Gogledd Corea, Swdan a Syria) sydd ar restrau sancsiynau. Chi sy'n gyfrifol am unrhyw oblygiadau treth yn dibynnu ar eich gwlad preswyl a'ch dinasyddiaeth. Efallai y bydd cyfyngiadau ychwanegol ar eich gallu i gymryd rhan yn dibynnu ar eich cyfraith leol.

Nid cystadleuaeth yw hon, ond yn hytrach rhaglen wobrwyo arbrofol a dewisol. Dylech ddeall y gallwn ganslo'r rhaglen ar unrhyw adeg, a bod y penderfyniad a ddylid talu gwobr ai peidio yn gyfan gwbl yn ôl ein disgresiwn ni.

Wrth gwrs, ni ddylai eich profion dorri unrhyw gyfraith, na tharfu ar nac peryglu unrhyw ddata nad yw'n eiddo i chi.