漏洞與賞金

對於所發現的漏洞或與安全相關的問題,我們會支付賞金。若要獲得賞金,必須符合下列條件。

#1 漏洞必須是唯一的
如果我們收到多份報告,最先回報者將獲得賞金。我們可自行決定支付象徵性的次要通報費用,以鼓勵日後的發現。

#2 漏洞必須可重現
對於無法重現的漏洞,我們不會支付賞金。對於展示無法重現之漏洞的 YouTube 影片,我們也不會支付賞金。

#3 必須具備攻擊情境
該攻擊必須能透過我們的系統進行散布。請說明散布能力。例如,利用我們的 API 再撰寫惡意指令碼並不算數,因為這與直接撰寫一個含有惡意指令碼的頁面並無不同。

類別	範例	賞金
遠端程式碼執行	指令注入、還原序列化錯誤、沙箱逃逸	$200 – $800
不受限制的檔案系統或資料庫存取	SQL 注入、任意檔案讀取/寫入	$500 – $2,000
洩漏或繞過重要安全控制的邏輯缺陷錯誤	直接物件參照、權限提升、遠端使用者冒充、帳號接管	$200 – $1,000
地圖保全漏洞	地圖不當暴露、受保護地圖的資料外洩	$100 – $500
在用戶端執行程式碼	儲存型 XSS、反射型 XSS	$100 – $500
其他有效的安全漏洞	CSRF、點擊劫持、資訊洩露、開放式重新導向	$25 – $200

賞金金額的決定方式

上述每個類別都有一個賞金範圍。一份有效報告落在該範圍內的哪個位置,取決於三個因素:

利用漏洞所需的權限。無需驗證身分的漏洞落在範圍的最高端。需要已驗證使用者的漏洞落在中間。需要特權環境(團隊管理員、團隊擁有者、付費方案、內部員工)的漏洞落在最低端。

影響範圍。影響所有使用者或所有地圖的漏洞,賞金高於僅影響單一帳號或攻擊者本來就隸屬的單一團隊的漏洞。

可逆性。受影響的使用者能透過正常流程復原的損害(例如重設密碼),賞金低於會持續存在或需要我們介入才能復原的損害。

報告品質也是考量因素。若報告內容清楚,附有可運作的概念驗證、根本原因分析及修補建議,即使單就技術影響只落在中間範圍,也可能獲得範圍的最高賞金。草率或臆測性的報告則可能只獲得最低賞金。

不在範圍內

下列項目不符合賞金資格:

匿名社群地圖。沒有擁有者、任何人皆可編輯的地圖是長期存在的社群功能。覆寫儲存匿名地圖並不是漏洞。

不公開列出(以網址作為憑證)的地圖。沒有 LockView 的地圖刻意允許任何知道網址的人存取,類似於不公開列出的 YouTube 影片。透過得知地圖代碼來存取或儲存此類地圖是設計使然。

我們代管但並非由我們維護的第三方軟體。與我們的服務一同部署的 GeoServer、Tomcat 或其他第三方軟體堆疊中的問題。請向各自的上游維護者回報這些問題。

沒有具體攻擊情境的缺少安全標頭問題。關於 CSP、X-Frame-Options、HSTS 等但沒有可運作之攻擊手法的報告不符合資格。

單獨的速率限制問題。在速率限制並非安全關鍵的端點上缺少速率限制,且沒有證明的濫用情境。

AI 的使用

我們利用 AI 進行初步驗證以進行分流。它有時會出錯,我們會對每一份報告進行人工審查;不過,如果您認為 AI 一開始犯了重大錯誤,請在提交內容中加入備註並提供更多背景資訊等。

Burp 的使用 / 端點

我們使用 Burp 等工具進行快速掃描。我們通常希望您不要對我們進行這類掃描,因為發送數千個請求只會對我們的伺服器造成不必要的負載。

為了節省您的時間,以下是一些端點:

https://www.scribblemaps.com/
(如果您要進行掃描,請封鎖 /maps/ 路徑,因為這會讓掃描器陷入無底洞)

https://team.scribblemaps.com
https://manage.scribblemaps.com
https://widgets.scribblemaps.com
https://api.scribblemaps.com
https://data.scribblemaps.com

付款

我們不保證付款時程。我們每月編列預算,嚴重的問題一律優先付款。我們僅透過 Wise 或 PayPal 付款。

賞金沒收

驗證或接受報告只是確立獲得獎勵的資格,而非無條件享有獎勵的權利。若研究人員的行為違反這些條款或善意協調揭露的原則,ScribbleMaps 可全部或部分減少或扣留賞金。沒收與否由 ScribbleMaps 自行決定;原因會記錄在報告上並告知研究人員。

原本應支付的賞金,可能因下列任何情形而被沒收:

過早或威脅公開揭露。在 ScribbleMaps 修復問題並授權揭露之前,即向公眾、第三方或透過媒體/社群管道揭露該漏洞,或以此相威脅。協調揭露是本計畫的條件。
脅迫、勒索或騷擾。以付款作為不揭露的條件;威脅或施壓員工;或利用支援、帳務或回報管道反覆或濫用地要求付款。有關獎勵狀態的問題應透過賞金入口網站提出,ScribbleMaps 會予以回覆。
多重或重複身分。經營多個研究人員帳號,或將不同帳號的獎勵導向同一個付款地址,以膨脹提交數量或獎勵。
串通或捏造的發現。跨帳號協調提交、在概念驗證中使用其他參與者的帳號或地圖作為「受害者」,或製造產品無法產生的資料狀態,然後將由此產生的資料當作外洩來引用。
低品質或自動化垃圾報告。在沒有證明針對 ScribbleMaps 的特定可行攻擊手法下,批次提交自動掃描器輸出、過時函式庫/CVE 清單,或已知不在範圍內的項目(請參閱不在範圍內)。
有害或違法的測試。存取、變更或竊取其他使用者的資料,且超出展示問題所需的最低限度;降低或拒絕服務;對員工或使用者進行社交工程;或任何計畫範圍或適用法律所禁止的活動。
不實陳述或詐欺。偽造重現步驟、證據、發現日期或身分。

備註。

沒收可能是部分(減少獎勵)或全部($0)。
因不當行為而被沒收的已驗證報告,同一項發現不再具備資格。
這些條款自提交時起適用,並在報告被接受時發送的接受通知中重述。

提交報告

請造訪:https://api.scribblemaps.com/vulnerabilities

該網站也包含如何透過 AI 提交報告的說明。您必須登入才能提交報告。

法律事項

我們無法向名列制裁清單的個人,或位於名列制裁清單之國家(例如古巴、伊朗、北韓、蘇丹和敘利亞)的個人發放獎勵。您需自行負責因您的居住國與公民身分而產生的任何稅務影響。依您當地法律,參加資格可能還有其他限制。

這不是競賽,而是一項實驗性且由我們自行決定的獎勵計畫。您應了解我們可隨時取消本計畫,且是否支付獎勵完全由我們自行決定。

當然,您的測試不得違反任何法律,也不得干擾或危害任何不屬於您自己的資料。

最後更新 4 10月 2026