Kerentanan Lan Bounty

Kita mbayar bounty kanggo kerentanan utawa masalah sing ana gandhengane karo keamanan sing ditemokake. Supaya bisa dibayar, sing ngisor iki kudu bener.

#1 Kerentanan kudu unik 
Yen kita nampa pirang-pirang laporan, sing pisanan nglaporake bakal entuk bounty. Kita bisa mbayar, miturut pertimbangan kita, biaya notifikasi sekunder nominal kanggo nyengkuyung panemuan ing mbesuk.

#2 Kerentanan kudu bisa direproduksi
Kita ora bakal mbayar kerentanan apa wae sing ora bisa direproduksi. Kita ora bakal mbayar bounty kanggo video YouTube sing nuduhake kerentanan sing ora bisa direproduksi.

#3 Kudu ana skenario serangan
Serangan kudu nduweni kemampuan distribusi liwat sistem kita. Mangga jelasake kemampuan distribusi. Contone, nggunakake API kita banjur nulis skrip jahat ora diitung amarga ora beda karo mung nulis kaca kanthi skrip jahat.
 

Carane jumlah bounty ditemtokake

Saben kategori ing ndhuwur nduweni kisaran pembayaran. Ing ngendi laporan sing sah dumunung ing kisarane gumantung marang telung faktor:

Hak istimewa sing dibutuhake kanggo eksploitasi. Bug tanpa autentikasi dumunung ing pucuk kisaran. Bug sing mbutuhake pangguna sing wis autentikasi dumunung ing tengah. Bug sing mbutuhake konteks sing nduweni hak istimewa (admin tim, pemilik tim, paket mbayar, staf internal) dumunung ing dhasar.

Jangkauan dampak. Kerentanan sing mengaruhi saben pangguna utawa saben peta mbayar luwih akeh tinimbang kerentanan sing mengaruhi siji akun utawa siji tim sing wis dadi anggotane panyerang.

Bisa dibalekake. Kerusakan sing bisa dibatalake dening pangguna sing kena liwat alur kerja normal (contone, reset sandhi) dibayar luwih sithik tinimbang kerusakan sing tetep ana utawa sing mbutuhake campur tangan kita kanggo mbatalake.

Kualitas laporan uga dadi pertimbangan. Tulisan sing cetha kanthi proof of concept sing bisa digunakake, analisis panyebab utama, lan saran perbaikan bisa entuk pucuk kisaran sanajan dampak teknis piyambak mung ana ing tengah. Laporan sing sembrono utawa spekulatif bisa entuk dhasar.

Ing njaba cakupan

Sing ngisor iki ora layak entuk bounty:

Peta komunitas anonim. Peta tanpa pemilik sing bisa diowahi dening sapa wae minangka fitur komunitas sing wis suwe. Nyimpen ing ndhuwur peta anonim dudu kerentanan.

Peta Ora Kadhaptar (URL minangka kredensial). Peta tanpa LockView sengaja bisa diakses dening sapa wae sing ngerti URL-é, padha karo video YouTube sing ora kadhaptar. Ngakses utawa nyimpen peta kaya ngono kanthi ngerti kode peta kuwi pancen sengaja.

Piranti lunak pihak katelu sing kita host nanging ora kita rawat. Masalah ing GeoServer, Tomcat, utawa tumpukan pihak katelu liyane sing diinstal bareng karo layanan kita. Mangga laporake iki marang pangurus upstream masing-masing.

Header keamanan sing ilang tanpa skenario serangan sing konkret. Laporan babagan CSP, X-Frame-Options, HSTS, lan liya-liyane tanpa eksploit sing bisa digunakake ora layak.

Pambatesan rate piyambak. Ora ana pambatesan rate ing endpoint sing pambatesan rate ora kritis kanggo keamanan, tanpa skenario penyalahgunaan sing dituduhake.

Panggunaan AI

Kita nggunakake AI kanggo validasi awal kanggo triase. Kadhangkala ana kesalahan, kita nindakake review manungsa kanggo saben laporan, nanging yen sampeyan mikir AI nggawe kesalahan gedhe ing wiwitan, tambahake cathetan menyang kiriman kanthi konteks luwih lengkap lan liya-liyane..compromise any

Panggunaan Burp / Endpoint

Kita nggunakake piranti kayata burp kanggo pindai cepet. Kita umume luwih seneng yen sampeyan ora nindakake pindai iki marang kita amarga ngetutake ewonan panjaluk mung nambah beban sing ora perlu ing server kita. 

Kanggo ngirit wektu sampeyan, iki sawetara endpoint: 

https://www.scribblemaps.com/ 
(Yen sampeyan nindakake pindai, blokir path /maps/ amarga iki bakal nuntun pemindai menyang lubang kelinci) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pambayaran

Ora ana jaminan babagan garis wektu pambayaran. Kita nyisihake anggaran saben sasi, kanthi masalah sing abot tansah dibayar dhisik. Kita mung nindakake pambayaran liwat wise utawa paypal.
 

Kelangan Bounty

Validasi utawa nampa laporan nggawe kelayakan kanggo hadiah, dudu hak tanpa syarat kanggo entuk hadiah. ScribbleMaps bisa nyuda utawa nahan bounty kanthi sakabèhé utawa sebagian nalika tumindak peneliti nglanggar katentuan iki utawa prinsip pambukaan koordinasi kanthi iktikad apik. Kelangan bounty miturut pertimbangan ScribbleMaps; alesan dicathet ing laporan lan dikomunikasikake marang peneliti.

Bounty sing biyasane bakal dibayar bisa ilang amarga salah siji sing ngisor iki:

1. Pambukaan umum sing durung wektune utawa diancam. Mbukak kerentanan — utawa ngancam bakal mbukak — kanthi umum, marang pihak katelu, utawa liwat saluran media/sosial sadurunge ScribbleMaps ndandani masalah lan ngidini pambukaan. Pambukaan koordinasi minangka syarat program.
2. Pamaksaan, pemerasan, utawa pelecehan. Nggawe ora mbukak gumantung marang pambayaran; ngancam utawa meksa staf; utawa nggunakake saluran dhukungan, penagihan, utawa pelapor kanggo bola-bali utawa kanthi kasar nuntut pambayaran. Pitakonan babagan status hadiah kudu diajukake liwat portal bounty, sing bakal dijawab dening ScribbleMaps.
3. Identitas pirang-pirang utawa dobel. Ngoperasikake luwih saka siji akun peneliti, utawa ngarahake hadiah kanggo akun sing beda menyang alamat pambayaran sing padha, kanggo nambah volume kiriman utawa hadiah.
4. Kolusi utawa temuan rekayasa. Koordinasi kiriman ing pirang-pirang akun, nggunakake akun utawa peta peserta liya minangka “korban” ing proof of concept, utawa nggawe kahanan data sing ora bisa diasilake dening produk banjur nyebutake data sing diasilake kuwi minangka bocoran.
5. Spam kanthi upaya sithik utawa otomatis. Kiriman Massal output pemindai otomatis, dhaptar library/CVE sing wis lawas, utawa item sing wis dikenal ing njaba cakupan (deleng Ing njaba cakupan) tanpa eksploit khusus ScribbleMaps sing dituduhake.
6. Pengujian sing mbebayani utawa nglanggar hukum. Ngakses, ngowahi, utawa ngekstrak data pangguna liya ngluwihi minimum sing dibutuhake kanggo nuduhake masalah; ngrusak utawa nolak layanan; rekayasa sosial marang staf utawa pangguna; utawa kegiatan apa wae sing dilarang dening cakupan program utawa hukum sing ditrapake.
7. Misrepresentasi utawa penipuan. Ngapusi langkah reproduksi, bukti, tanggal panemuan, utawa identitas.

Cathetan.

• Kelangan bisa sebagian (hadiah sing dikurangi) utawa kabeh ($0).
• Laporan sing wis divalidasi nanging ilang amarga tumindak salah ora layak maneh kanggo temuan sing padha.
• Katentuan iki ditrapake wiwit wektu kiriman lan diandharake maneh ing kabar panampa sing dikirim nalika laporan ditampa.

Kanggo Ngirim Laporan

Mangga ngunjungi: https://api.scribblemaps.com/vulnerabilities

Situs kasebut uga kalebu pandhuan babagan carane ngirim laporan liwat AI. Sampeyan kudu mlebu kanggo ngirim laporan.

Poin hukum

Kita ora bisa menehi hadiah marang individu sing ana ing dhaptar sanksi, utawa sing ana ing negara (contone Kuba, Iran, Korea Lor, Sudan lan Suriah) sing ana ing dhaptar sanksi. Sampeyan tanggung jawab kanggo implikasi pajak apa wae gumantung marang negara panggonan lan kewarganegaraan sampeyan. Bisa uga ana watesan tambahan marang kemampuan sampeyan melu gumantung marang hukum lokal sampeyan.

Iki dudu kompetisi, nanging program hadiah eksperimental lan miturut pertimbangan. Sampeyan kudu mangerteni yen kita bisa mbatalake program iki ing wektu apa wae, lan keputusan apa bakal mbayar hadiah utawa ora kudu sakabèhé miturut pertimbangan kita.

Mesthi wae, pengujian sampeyan ora kena nglanggar hukum apa wae, utawa ngganggu utawa ngrusak data apa wae sing dudu duweke sampeyan dhewe.