برنامهٔ باگ بانتی
پیدا کردید؟ مسئولانه گزارش کنید.
فلوسا میزبان دادهٔ مالی و پرسنلی شرکت‌هاست. اگر آسیب‌پذیری امنیتی پیدا کردید، مسئولانه گزارش کنید؛ گزارش شما را جدی می‌گیریم. جدول و مبلغ پاداش پس از تأیید رسمی برنامه اعلام می‌شود.
افشای مسئولانه و هماهنگگزارش از راه ایمیل امنیتبدون وعدهٔ پاداش پیش از تأیید برنامه
پاداشدر حال تعیینمبلغ پاداش پس از تأیید رسمی برنامه اعلام می‌شود
—پرداخت‌شده تا امروز
—گزارش معتبر رفع‌شده
—میانگین زمان بررسی
—پژوهشگر در تالار افتخار
پاداش‌ها
شدت با CVSS v3.1 و اثر واقعی روی دادهٔ مشتریان سنجیده می‌شود. مبلغ هر ردیف پس از تأیید رسمی برنامه اعلام می‌شود و تا آن زمان هیچ پاداشی تضمین نمی‌شود.بر اساس شدت، نه بر اساس چانه‌زنی.
بحرانیCVSS 9.0–10.0پس از اعلام برنامهاجرای کد از راه دور، دسترسی بین‌شرکتی به داده، دور زدن احراز هویت
بالاCVSS 7.0–8.9پس از اعلام برنامهIDOR روی دادهٔ مالی/پرسنلی، ارتقای سطح دسترسی، SQLi
متوسطCVSS 4.0–6.9پس از اعلام برنامهXSS ذخیره‌شده، CSRF روی عملیات حساس، نشت اطلاعات محدود
کمCVSS 0.1–3.9پس از اعلام برنامهXSS بازتابی، پیکربندی نادرست با اثر کم
اطلاعیCVSS —پس از اعلام برنامهبهترین‌عمل‌ها بدون اثر امنیتی مستقیم
ضریب‌های افزایشی ممکن است برای آسیب‌پذیری‌هایی که مرز بین دو شرکت (tenant) را می‌شکنند یا گزارش‌هایی با PoC کامل و پیشنهاد رفع در نظر گرفته شود؛ جزئیات همراه با اعلام برنامه.
محدوده
چه چیزی داخل است، چه چیزی نه.
در محدوده
app.flosaerp.comپنل وب
api.flosaerp.comAPI و وب‌هوک
liana.flosaerp.comLiana AI
*.flosaerp.comزیردامنه‌های محصول
Android / iOSآخرین نسخهٔ منتشرشدهٔ اندروید و iOS
flosaerp.comسایت و پرداخت
خارج از محدوده
حملات منع سرویس (DoS/DDoS) و تست بارمهندسی اجتماعی، فیشینگ کارکنان یا مشتریاندسترسی فیزیکی به دفاتر یا دیتاسنترنسخه‌های قدیمی اپلیکیشن یا مرورگرهای پشتیبانی‌نشدهگزارش‌های اسکنر خودکار بدون PoCنبود هدرهای امنیتی بدون اثر قابل اثبات، clickjacking روی صفحات بدون عمل حساسشمارش نام کاربری، سیاست رمز عبور، خروج نشدن بعد از تغییر رمزسرویس‌های شخص ثالث (درگاه پرداخت، پیامک، سامانهٔ مالیاتی)
قوانین و افشای مسئولانه
مسئولانه بگردید؛ ما مسئولانه پاسخ می‌دهیم.
اگر قوانین را رعایت کنید و با حسن‌نیت عمل کنید، گزارش شما را همکارانه بررسی می‌کنیم. اگر در حین تحقیق ناخواسته به داده‌ای دسترسی پیدا کردید، فوراً متوقف شوید و گزارش دهید. شرایط حقوقی دقیق (از جمله بندر امن) همراه با اعلام رسمی برنامه منتشر می‌شود.
۱فقط حساب خودتانبا حساب آزمایشی خودتان تست کنید؛ هرگز به دادهٔ مشتریان واقعی دسترسی نگیرید، آن را تغییر ندهید یا ذخیره نکنید.
۲حداقل اثربه محض اثبات آسیب‌پذیری متوقف شوید. برای اثبات، یک رکورد کافی است.
۳بدون اختلالتست بار، اسکن تهاجمی یا هر چیزی که سرویس را برای دیگران کند یا قطع کند ممنوع است.
۴افشای هماهنگتا رفع و تأیید ما جزئیات را منتشر نکنید؛ مهلت دقیق در شرایط برنامه اعلام می‌شود.
۵اولین گزارش معتبراولویت با اولین گزارش کامل همان آسیب‌پذیری است؛ گزارش‌های تکراری اطلاع داده می‌شوند.
۶حسن‌نیتفعالیت صادقانه و مطابق همین قوانین، با نیت گزارش و بدون سوءاستفاده انجام شود.
۷چه کسی نمی‌تواند شرکت کندکارکنان فعلی و سابق فلوسا و پیمانکارانی که به کد منبع دسترسی داشته‌اند؛ شرایط دقیق همراه برنامه اعلام می‌شود.
فرایند
از گزارش تا رفع، در پنج قدم.
۱شروعارسالگزارش از طریق ایمیل امنیت.
۲پس از دریافتبررسی اولیهتیم امنیت بازتولید می‌کند و شدت اولیه را اعلام می‌کند.
۳بر اساس شدترفعتیم مهندسی وصله را منتشر می‌کند؛ شما در جریان هستید.
۴پس از رفعتأییدشدت نهایی با CVSS و اثر واقعی تعیین می‌شود.
۵پس از رفعافشابا توافق دوطرفه، جزئیات منتشر می‌شود.
تالار افتخار
با اجازهٔ پژوهشگرکسانی که فلوسا را امن‌تر کردند.
هنوز نامی ثبت نشده است
پس از رفع نخستین گزارش‌های معتبر و با اجازهٔ پژوهشگر، نام او در همین‌جا ثبت می‌شود.
گزارش آسیب‌پذیری
گزارش را به ایمیل امنیت بفرستید. هنوز کلید PGP یا فرم آنلاین منتشر نشده است؛ از ارسال اطلاعات حساس خام در ایمیل خودداری کنید.
[email protected]یک گزارش خوب شامل این‌هاست
- مراحل بازتولید
- اثر امنیتی و داده‌ای که در معرض است
- PoC یا ویدیو
- محیط تست (مرورگر یا نسخهٔ اپ)
- شدت پیشنهادی شما
هرچه گزارش کامل‌تر باشد، بررسی سریع‌تر انجام می‌شود. لطفاً تا رفع، جزئیات را منتشر نکنید.