کمزوریاں اور انعامات

ہم دریافت شدہ کمزوریوں یا سیکیورٹی سے متعلق مسائل پر انعامات ادا کرتے ہیں۔ ادائیگی حاصل کرنے کے لیے درج ذیل شرائط کا پورا ہونا ضروری ہے۔

#1 کمزوری منفرد ہونی چاہیے 
اگر ہمیں متعدد رپورٹس موصول ہوں تو سب سے پہلے رپورٹ کرنے والے کو انعام ملے گا۔ ہم اپنی صوابدید پر، مستقبل میں مزید دریافتوں کی حوصلہ افزائی کے لیے، معمولی ثانوی اطلاعی فیس ادا کر سکتے ہیں۔

#2 کمزوری کو دوبارہ پیدا کیا جا سکنا چاہیے
ہم کسی ایسی کمزوری کی ادائیگی نہیں کریں گے جسے دوبارہ پیدا نہ کیا جا سکے۔ ہم ایسی یوٹیوب ویڈیوز پر انعامات ادا نہیں کریں گے جن میں ایسی کمزوری دکھائی گئی ہو جسے دوبارہ پیدا نہیں کیا جا سکتا۔

#3 حملے کا ایک منظرنامہ ہونا ضروری ہے
حملے میں ہمارے سسٹمز کے ذریعے پھیلانے کی صلاحیت ہونی چاہیے۔ براہ کرم پھیلانے کی صلاحیت کی وضاحت کریں۔ مثال کے طور پر، ہمارے API سے فائدہ اٹھا کر نقصان دہ اسکرپٹس لکھنا شمار نہیں ہوگا کیونکہ یہ نقصان دہ اسکرپٹس والا صفحہ لکھنے سے مختلف نہیں ہوگا۔
 

انعام کی رقم کا تعین کیسے کیا جاتا ہے

اوپر دیے گئے ہر زمرے کی ادائیگی کی ایک حد ہے۔ کوئی درست رپورٹ اس حد میں کہاں آتی ہے، اس کا انحصار تین عوامل پر ہے:

فائدہ اٹھانے کے لیے درکار استحقاق۔ بغیر تصدیق والی خرابیاں حد کے اوپری سرے پر آتی ہیں۔ جن خرابیوں کے لیے تصدیق شدہ صارف درکار ہو وہ درمیان میں آتی ہیں۔ جن کے لیے کسی مراعات یافتہ سیاق و سباق (ٹیم ایڈمن، ٹیم کا مالک، ادا شدہ پلان، اندرونی عملہ) کی ضرورت ہو وہ نچلے سرے پر آتی ہیں۔

اثر کا دائرہ۔ وہ کمزوریاں جو ہر صارف یا ہر نقشے کو متاثر کرتی ہیں، ان کمزوریوں سے زیادہ ادائیگی پاتی ہیں جو کسی ایک اکاؤنٹ یا اس ایک ٹیم کو متاثر کرتی ہیں جس کا حملہ آور پہلے سے رکن ہے۔

قابلِ واپسی ہونا۔ وہ نقصان جسے متاثرہ صارف معمول کے طریقوں (مثال کے طور پر پاس ورڈ ری سیٹ) سے ختم کر سکے، اس نقصان سے کم ادائیگی پاتا ہے جو برقرار رہے یا جسے ختم کرنے کے لیے ہماری مداخلت درکار ہو۔

رپورٹ کا معیار بھی اثر انداز ہوتا ہے۔ ایک واضح تحریر جس میں کام کرنے والا ثبوتِ تصور، بنیادی وجہ کا تجزیہ، اور اصلاح کی تجویز شامل ہو، حد کے اوپری سرے تک انعام دلا سکتی ہے چاہے صرف تکنیکی اثر درمیانی حد میں آتا ہو۔ ناقص یا قیاس آرائی پر مبنی رپورٹس کو نچلی حد مل سکتی ہے۔

دائرہ کار سے باہر

درج ذیل انعام کے اہل نہیں ہیں:

گمنام کمیونٹی نقشے۔ بغیر مالک کے وہ نقشے جنہیں کوئی بھی ایڈٹ کر سکتا ہے، ایک دیرینہ کمیونٹی خصوصیت ہیں۔ کسی گمنام نقشے کو اوور رائٹ کر کے محفوظ کرنا کمزوری نہیں ہے۔

غیر فہرست شدہ (URL بطور اسناد) نقشے۔ LockView کے بغیر نقشے جان بوجھ کر ہر اس شخص کے لیے قابلِ رسائی ہیں جو URL جانتا ہو، بالکل غیر فہرست شدہ یوٹیوب ویڈیو کی طرح۔ نقشے کا کوڈ جان کر ایسے نقشے تک رسائی حاصل کرنا یا اسے محفوظ کرنا ڈیزائن کے مطابق ہے۔

تھرڈ پارٹی سافٹ ویئر جو ہم ہوسٹ کرتے ہیں مگر برقرار نہیں رکھتے۔ GeoServer، Tomcat، یا ہماری خدمات کے ساتھ تعینات دیگر تھرڈ پارٹی اسٹیکس کے مسائل۔ براہ کرم ان کی اطلاع متعلقہ اپ اسٹریم مینٹینرز کو دیں۔

ٹھوس حملے کے منظرنامے کے بغیر سیکیورٹی ہیڈرز کی کمی۔ CSP، X-Frame-Options، HSTS وغیرہ کے بارے میں ایسی رپورٹس جن کے ساتھ کام کرنے والا ایکسپلائٹ نہ ہو، اہل نہیں ہیں۔

علیحدہ طور پر ریٹ لمیٹنگ۔ ان اینڈ پوائنٹس پر ریٹ لمیٹنگ کی کمی جہاں ریٹ لمیٹنگ سیکیورٹی کے لیے اہم نہیں ہے، اور جس کے ساتھ غلط استعمال کا کوئی ثابت شدہ منظرنامہ نہ ہو۔

AI کا استعمال

ہم ترجیحی درجہ بندی کے لیے ابتدائی توثیق کرنے میں AI سے فائدہ اٹھاتے ہیں۔ یہ کبھی کبھار غلطیاں کرتا ہے، ہم ہر رپورٹ کا انسانی جائزہ لیتے ہیں، تاہم اگر آپ کو لگتا ہے کہ AI نے ابتدا میں کوئی بڑی غلطی کی ہے تو مزید سیاق و سباق وغیرہ کے ساتھ جمع کرائی گئی رپورٹ میں ایک نوٹ شامل کریں۔۔compromise any

Burp کا استعمال / اینڈ پوائنٹس

ہم فوری اسکینز کے لیے burp جیسے ٹولز استعمال کرتے ہیں۔ ہم عام طور پر ترجیح دیتے ہیں کہ آپ ہم پر یہ اسکینز نہ کریں کیونکہ ہزاروں درخواستیں بھیجنے سے ہمارے سرورز پر غیر ضروری بوجھ پڑتا ہے۔ 

آپ کا کچھ وقت بچانے کے لیے یہ اینڈ پوائنٹس ہیں: 

https://www.scribblemaps.com/ 
(اگر آپ اسکین کریں تو /maps/ پاتھ کو بلاک کر دیں کیونکہ یہ اسکینرز کو ایک لامتناہی چکر میں ڈال دے گا) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

ادائیگیاں

ادائیگی کی مدت کی کوئی ضمانت نہیں ہے۔ ہم ماہانہ بجٹ مختص کرتے ہیں، اور سنگین مسائل کی ادائیگی ہمیشہ پہلے کی جاتی ہے۔ ہم صرف wise یا paypal کے ذریعے ادائیگی کرتے ہیں۔
 

انعام کی ضبطی

کسی رپورٹ کی توثیق یا قبولیت انعام کی اہلیت قائم کرتی ہے، نہ کہ اس کا غیر مشروط استحقاق۔ جب کسی محقق کا طرزِ عمل ان شرائط یا ذمہ دارانہ مربوط افشا کے اصولوں کی خلاف ورزی کرے تو ScribbleMaps انعام کو مکمل یا جزوی طور پر کم یا روک سکتا ہے۔ ضبطی ScribbleMaps کی صوابدید پر ہے؛ اس کی وجہ رپورٹ پر درج کی جاتی ہے اور محقق کو بتائی جاتی ہے۔

ایسا انعام جو بصورتِ دیگر قابلِ ادائیگی ہوتا، درج ذیل میں سے کسی بھی وجہ سے ضبط کیا جا سکتا ہے:

1. قبل از وقت یا دھمکی آمیز عوامی افشا۔ ScribbleMaps کی جانب سے مسئلہ حل کرنے اور افشا کی اجازت دینے سے پہلے کمزوری کو عوامی طور پر، تیسرے فریقوں کے سامنے، یا میڈیا/سوشل چینلز کے ذریعے ظاہر کرنا — یا ایسا کرنے کی دھمکی دینا۔ مربوط افشا پروگرام کی ایک شرط ہے۔
2. جبر، بھتہ خوری، یا ہراسانی۔ ادائیگی کو افشا نہ کرنے سے مشروط کرنا؛ عملے کو دھمکانا یا ان پر دباؤ ڈالنا؛ یا ادائیگی کا بار بار یا بدسلوکی سے مطالبہ کرنے کے لیے سپورٹ، بلنگ، یا رپورٹر چینلز کا استعمال کرنا۔ انعام کی حیثیت کے سوالات بونٹی پورٹل کے ذریعے اٹھائے جانے چاہئیں، جن کا ScribbleMaps جواب دے گا۔
3. متعدد یا نقل شدہ شناختیں۔ ایک سے زیادہ محقق اکاؤنٹس چلانا، یا جمع کرائی گئی رپورٹس کی تعداد یا انعامات بڑھانے کے لیے الگ الگ اکاؤنٹس کے انعامات کو مشترکہ ادائیگی کے پتے پر بھیجنا۔
4. ملی بھگت یا من گھڑت نتائج۔ اکاؤنٹس کے درمیان رپورٹس کو مربوط کرنا، ثبوتِ تصور میں کسی دوسرے شریک کے اکاؤنٹ یا نقشوں کو “شکار” کے طور پر استعمال کرنا، یا ایسی ڈیٹا حالت گھڑنا جو پروڈکٹ پیدا نہیں کر سکتی اور پھر اس کے نتیجے میں آنے والے ڈیٹا کو لیک قرار دینا۔
5. کم محنت والا یا خودکار اسپیم۔ خودکار اسکینر آؤٹ پٹ، پرانی لائبریری/CVE فہرستوں، یا معلوم دائرہ کار سے باہر آئٹمز (دیکھیں دائرہ کار سے باہر) کی بڑی تعداد میں رپورٹس جمع کرانا، جن کے ساتھ ScribbleMaps کے لیے مخصوص کوئی ثابت شدہ ایکسپلائٹ نہ ہو۔
6. نقصان دہ یا غیر قانونی ٹیسٹنگ۔ مسئلہ ثابت کرنے کے لیے درکار کم از کم سے آگے دوسرے صارفین کے ڈیٹا تک رسائی حاصل کرنا، اسے تبدیل کرنا، یا نکالنا؛ سروس کو خراب کرنا یا روکنا؛ عملے یا صارفین کے ساتھ سوشل انجینئرنگ کرنا؛ یا پروگرام کے دائرہ کار یا قابلِ اطلاق قانون کی رو سے ممنوع کوئی بھی سرگرمی۔
7. غلط بیانی یا دھوکہ دہی۔ دوبارہ پیدا کرنے کے مراحل، ثبوت، دریافت کی تاریخوں، یا شناخت میں جعل سازی کرنا۔

نوٹس۔

• ضبطی جزوی (کم کیا گیا انعام) یا مکمل ($0) ہو سکتی ہے۔
• بدسلوکی کی وجہ سے ضبط کی گئی توثیق شدہ رپورٹ اسی دریافت کے لیے دوبارہ اہل نہیں ہوتی۔
• یہ شرائط جمع کرانے کے لمحے سے لاگو ہوتی ہیں اور رپورٹ قبول ہونے پر بھیجے جانے والے قبولیتی نوٹس میں دوبارہ بیان کی جاتی ہیں۔

رپورٹ جمع کرانے کے لیے

براہ کرم ملاحظہ کریں: https://api.scribblemaps.com/vulnerabilities

اس سائٹ پر AI کے ذریعے رپورٹس جمع کرانے کی ہدایات بھی شامل ہیں۔ رپورٹ جمع کرانے کے لیے آپ کو لاگ ان ہونا ضروری ہے۔

قانونی نکات

ہم ان افراد کو انعامات جاری کرنے سے قاصر ہیں جو پابندیوں کی فہرستوں میں شامل ہیں، یا ان ممالک (مثلاً کیوبا، ایران، شمالی کوریا، سوڈان اور شام) میں ہیں جو پابندیوں کی فہرستوں میں ہیں۔ آپ کی رہائش اور شہریت کے ملک کے لحاظ سے کسی بھی ٹیکس کے اثرات کی ذمہ داری آپ کی ہے۔ آپ کے مقامی قانون کے مطابق شرکت کی آپ کی اہلیت پر اضافی پابندیاں ہو سکتی ہیں۔

یہ کوئی مقابلہ نہیں ہے، بلکہ ایک تجرباتی اور صوابدیدی انعامی پروگرام ہے۔ آپ کو سمجھنا چاہیے کہ ہم پروگرام کسی بھی وقت منسوخ کر سکتے ہیں، اور انعام ادا کرنے یا نہ کرنے کا فیصلہ مکمل طور پر ہماری صوابدید پر ہے۔

یقیناً، آپ کی ٹیسٹنگ کسی بھی قانون کی خلاف ورزی نہیں کرنی چاہیے، اور نہ ہی کسی ایسے ڈیٹا میں خلل ڈالنا یا اسے متاثر کرنا چاہیے جو آپ کا اپنا نہ ہو۔