Tzentru de agiudu de Scribble Maps
Muda sa limba

Vulnerabilidades e Ricumpensas

Pagamus ricumpensas pro vulnerabilidades iscobertas o pro problemas ligados a sa seguresa. Pro ìsser pagados, custas cunditziones depent ìsser berus.

#1 Sa vulnerabilidade depet ìsser ùnica 
Si retzimus prus informes, su primu a informare at a otènnere sa ricumpensa. Podimus pagare, a discretzione nostra, cumpensos secundàrios de notìfica nominales pro incoraggiare iscobertas imbenidoras.

#2 Sa vulnerabilidade depet ìsser riproduibile
No pagamus peruna vulnerabilidade chi non si potzat riproduire. No pagamus ricumpensas pro vìdeos de YouTube chi mustrent una vulnerabilidade chi non si potzat riproduire.

#3 Depet àere unu scenàriu de atacu
S'atacu depet àere capatzidade de distributzione through our sistemas. Pro praghere ispiega sa capatzidade de distributzione. Pro esempru, impreare s'API nostra e tando iscriere scripts malitziosos no at a contare, ca no at a ìsser diferente de iscriere solu una pàgina cun scripts malitziosos.
 

Categoria Esempros Ricumpensa
Esecutzione de còdighe remota Command injection, deserialization bugs, sandbox escapes $200 – $800
Atzessu non limitadu a su file system o a sa base de datos SQL injection, arbitrary file read/write $500 – $2,000
Errores de lògica chi esponent o aggirant controllos de seguresa importantes Direct object reference, privilege escalation, remote user impersonation, account takeover $200 – $1,000
Vulnerabilidades de Seguresa de sa Mapa Improper map exposure, secure-map data leak $100 – $500
Esecutzione de còdighe in su client Stored XSS, reflected XSS $100 – $500
Àteras vulnerabilidades de seguresa vàlidas CSRF, clickjacking, info disclosure, open redirect $25 – $200

Comente si determinant sas cantidades de sas ricumpensas

Ogni categoria de subra tenet un'intervallu de pagamentu. Su puntu de s'intervallu in ue arrivat un'informe vàlidu depent de tres fatores:

Privilègiu netzessàriu pro s'isfruttamentu. Sos errores chi no rechedent autenticatzione arrivant a sa parte alta de s'intervallu. Sos errores chi rechedent unu utente autenticadu arrivant a su mesu. Sos errores chi rechedent unu cuntestu privilegiadu (admin de team, sennore de team, pranu a pagamentu, personale internu) arrivant a sa parte bàscia.

Raju de s'impattu. Sas vulnerabilidades chi tocant totus sos utentes o totas sas mapas pagant de prus de cussas chi tocant un'ùnicu contu o un'ùnicu team a su cale s'atacante giai pertocat.

Reversibilidade. Su dannu chi s'utente tocadu podet disfaghere cun sos fluxos normales (pro esempru, unu reset de sa password) pagat de mancu de su dannu chi permanet o chi rechedet s'interventu nostru pro ìsser disfatu.

Fintzas sa calidade de s'informe contat. Una descritzione crara cun una proa de cuntzetu funtzionante, anàlisi de sa causa printzipale e unu cussizu de currètzione podet otènnere sa parte alta de s'intervallu fintzas cando s'impattu tècnicu isolu arribaret a su mesu. Sos informes trascuradas o ispeculativos podent otènnere sa parte bàscia.

Foras de ambitu

Custas cosas no sunt eligibiles pro una ricumpensa:

Mapas de sa comunidade anònimas. Sas mapas chene sennore chi cada unu podet modificare sunt una funtzionalidade antiga de sa comunidade. Sarbende subra de una mapa anònima no est una vulnerabilidade.

Mapas Non in lista (URL comente credentziale). Sas mapas chene LockView sunt intentzionalmente atzessìbiles a chie connoschet s'URL, che a unu vìdeo de YouTube non in lista. Atzèdere o sarbare una mapa de custa manera connoschende su còdighe de sa mapa est a progetu.

Software de terzos chi ospitamus ma no mantenimus. Problemas in GeoServer, Tomcat, o àteros stacks de terzos installados impare cun sos servìtzios nostros. Pro praghere informa custos problemas a sos mantenidores respetivos in origine.

Intestatziones de seguresa mancantes chene unu scenàriu de atacu concretu. Sos informes subra de CSP, X-Frame-Options, HSTS, etc. chene un'exploit funtzionante no sunt eligibiles.

Rate limiting isoladu. Mancanzia de rate limiting in endpoints in ue su rate limiting no est criticu pro sa seguresa, chene unu scenàriu de abusu dimostradu.

Impreu de s'IA

Impreamus s'IA pro fàghere sa validatzione initziale pro sa triage. A bortas faghet errores, nois fachimus revisiones umanas de ognuna, però, si pensas chi s'IA at fatu unu errore mannu in printzìpiu, agiunghe una nota a sa submissione cun cuntestu ulteriore etc..compromise any

Impreu de Burp / Endpoints

Impreamus istrumentos che burp pro iscansiones lestras. Preferimus in generale chi no fatas custas iscansiones subra de nois, ca peri milli rechestas ponet solu carrigu inùtile in sos servidores nostros. 

Pro ti sarvare tempus, ecco unos cantos endpoints: 

https://www.scribblemaps.com/ 
(Si faghes un'iscansione bloca su caminu /maps/ ca at a mandare sos iscansores in una busciacca chene fine) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pagamentos

No b'at garantzias subra de sos tempos de pagamentu. Allocamus unu budget mensile, cun sos problemas graves semper pagados in antis. Faghimus pagamentos isceti pro mèdiu de wise o paypal.
 

Perdida de sa Ricumpensa

Validare o atzetare un'informe istabilit s'eligibilidade a una ricumpensa, no unu deretu incunditzionadu a issa. ScribbleMaps podet reduire o retènnere una ricumpensa in totalidade o in parte cando sa cunduta de unu chircadore violat custos tèrmines o sos printzìpios de sa divulgatzione coordinada in bona fide. Sa perdida est a discretzione de ScribbleMaps; su motivu benit registradu in s'informe e comunicadu a su chircadore.

Una ricumpensa chi diat àere dèpidu ìsser pagada podet ìsser perdida pro una de custas resones:

  1. Divulgatzione pùblica anticipada o minacciada. Divulgare sa vulnerabilidade — o minacciare de la divulgare — pùblicamente, a terzos, o pro mèdiu de canales media/sotziales in antis chi ScribbleMaps apat remediadu su problema e autorizadu sa divulgatzione. Sa divulgatzione coordinada est una cunditzione de su programma.
  2. Coertzione, estorsione o molestia. Cunditzionare sa non-divulgatzione a su pagamentu; minacciare o pressare su personale; o impreare sos canales de suportu, fatturatzione o de informadore pro pretèndere pagamentu in manera repetida o abusiva. Sas dimandas subra de s'istadu de sa ricumpensa devent ìsser fatas pro mèdiu de su portale de sas ricumpensas, a su cale ScribbleMaps at a rispòndere.
  3. Identidades multiplas o duplicadas. Operare cun prus de unu contu de chircadore, o indiritzare sas ricumpensas de contos separados a un'indiritzu de pagamentu cumpartzidu, pro ismanniare su volume de submissiones o ricumpensas.
  4. Collusione o descobertas fabbricadas. Coordinare submissiones intre contos, impreare su contu o sas mapas de un'àteru partetzipante comente “vìtima” in una proa de cuntzetu, o fabbricare un istadu de datos chi su produtu no podet generare e tando tzitare sos datos resultantes comente fughida.
  5. Spam de pagu impignu o automatizadu. Submissiones in blocu de output de iscansores automàticos, listas de librerias/CVE antigas, o elementos giai foras de ambitu (bidere Foras de ambitu) chene un'exploit dimostradu e ispetzìficu de ScribbleMaps.
  6. Proas dannosas o illegales. Atzèdere, modificare o esfiltrare datos de àteros utentes oltre su minimu netzessàriu pro dimostrare su problema; degradare o negare su servìtziu; fàghere ingegneria sotziale subra de personale o utentes; o cale si siat atividade proibida dae s'ambitu de su programma o dae sa lege aplicàbile.
  7. Faltsa rapresentatzione o frode. Falsificare sos passos de riprodutzione, sas provas, sas datas de iscoberta o s'identidade.

Notas.

  • Sa perdida podet ìsser parziale (una ricumpensa reduida) o totale ($0).
  • Un'informe validadu chi benit perdidu pro mala cunduta no est piùs eligibile pro sa matessi iscoberta.
  • Custos tèrmines s'aplicant dae su momentu de sa submissione e sunt torrados a nàrrere in s'avisu de atzetatzione imbiadu cando un'informe benit atzetadu.

Pro Imbiare un'Informe

Pro praghere visita: https://api.scribblemaps.com/vulnerabilities

Su situ includet fintzas istrutziones subra de comente imbiare informes cun s'IA. Depes fàghere s'atzessu pro imbiare un'informe.

Puntos legales

No podimus emitire ricumpensas a persones chi sunt in listas de sanctiones, o chi sunt in paisos (pro esempru Cuba, Iran, Corea de su Norte, Sudàn e Siria) in listas de sanctiones. Ses responsàbile de cale si siat implicatzione fiscale segundu su paisu de residèntzia e tzitadinantzia tua. Podent èssere restritziones additzionales subra de sa capatzidade tua de partetzipare segundu sa lege locale.

Custa no est una cumpetitzione, ma unu programma de ricumpensas isperimentale e discretzionale. Depes cumprèndere chi podimus annullare su programma a cale si siat momentu, e sa detzisione si pagare o nono una ricumpensa depet ìsser totalmente a discretzione nostra.

Naturalmente, sa proa tua non depet violare peruna lege, nen disturbare o cumprometere datos chi no sunt tuos.

Ùrtima atualizatzione