Última actualización: 26-ago-2025
¡Hola, cazadores de errores! Nos alegra mucho que esté aquí
para ayudarnos a mantener XposedOrNot (XON) seguro y protegido. He
creado esta Política de divulgación responsable para garantizar
que todos colaboren correctamente y nos ayuden a mantener nuestros
servicios, sitio web y red a salvo de cualquier error o
vulnerabilidad.
Si encuentra algo que requiera mi atención, le agradezco su
cooperación al investigarlo y notificarlo de forma responsable,
para que pueda corregirlo con la mayor rapidez posible. Su ayuda
en la divulgación de vulnerabilidades de seguridad nos permite
mantener a salvo a todos nuestros usuarios.
Directrices para la notificación:
Al notificar un error o una vulnerabilidad, asegúrese de incluir
lo siguiente:
-
Una descripción clara del error o la vulnerabilidad, con
alguna evidencia como capturas de pantalla o datos de salida.
No sea tímido: ¡nos encanta ver lo que ha descubierto!
-
Una descripción del posible impacto de la vulnerabilidad, para
que sepamos a qué nos enfrentamos.
-
Su nombre o alias preferido para que podamos darle el
reconocimiento que merece en nuestro Salón de la Fama de
Investigadores de Seguridad de XON.
-
Los pasos exactos para reproducir el problema, de modo que
podamos replicarlo por nuestra parte.
-
Una prueba de concepto en vídeo siempre se agradece, si
dispone de una.
-
Cualquier información relevante sobre plataformas, sistemas
operativos, versiones, direcciones IP o URL.
-
La evidencia de apoyo, como datos de registro o de rastreo,
siempre resulta útil.
-
Su evaluación de cuán explotable podría ser el problema. No le
juzgaremos si es un 10 sobre 10 en la escala de
explotabilidad.
¡Gracias por ser un excelente cazador de errores 🙌 y por
ayudarnos a mantener XposedOrNot (XON) seguro y protegido!
Informes válidos
- Inclusión de archivos local o remota (LFI/RFI)
- Elusión de la autenticación
- Recorrido de directorios
- Fuga de datos no autorizada o no intencionada
- Ejecución remota de código (RCE)
- Inyección SQL/XXE e inyección de comandos
- Cross-Site Scripting (XSS)
- Falsificación de solicitudes del lado del servidor (SSRF)
- Problemas de configuración incorrecta en servidores o API
- Problemas relacionados con la autenticación y la autorización
- Falsificación de solicitudes entre sitios (CSRF)
Dominios dentro del alcance
Dominio principal: xposedornot.com
Subdominios: Todos los subdominios de
xposedornot.com (*.xposedornot.com)
Esto incluye, entre otros: api.xposedornot.com,
passwords.xposedornot.com, plus.xposedornot.com y cualquier
subdominio futuro.
Usos de la información
Nos comprometemos a mantener confidencial toda la información sobre
usted y sobre nuestros servicios. Por lo tanto, ¡le rogamos que no
revele nada a nadie ajeno a nuestro equipo!
Nuestro objetivo es hacer de internet un lugar más seguro, y
valoramos a los investigadores de seguridad que nos ayudan a
lograrlo. Por eso, ¡muchas gracias 🙏 por formar parte de ese
esfuerzo! Al divulgar de forma responsable cualquier error o
vulnerabilidad que encuentre, nos ayuda a proteger a nuestros
usuarios y sus datos.
Política de uso aceptable
Solo un aviso: este no es el típico programa de «bug bounty»
(recompensas por errores) en el que ofrecemos premios en efectivo
por los informes de vulnerabilidades. No estamos forrados de
dinero (todavía). Sin embargo, si nos comunica algo importante,
¡es posible que le mostremos nuestro cariño y agradecimiento a
cambio!
Eso sí, manténgalo todo dentro de lo ético, ¿de acuerdo? Esperamos
que actúe como un buen ciudadano de internet y que siga las normas
que hemos establecido en nuestra Política de uso aceptable. Si lo
hace, con gusto le daremos reconocimiento en nuestra página del
Salón de la Fama, que viene a ser nuestra versión del Paseo de la
Fama de Hollywood, pero para investigadores de seguridad. Así que
adelante, demuestre sus habilidades y ayúdenos a hacer de
XposedOrNot un lugar más seguro para todos.
Lo que esperamos de quienes notifican errores
¡Cazadores de errores, nos entusiasma contar con usted para
ayudarnos a hacer de XposedOrNot un lugar más seguro para todos!
Antes de empezar, estas son algunas cosas que esperamos de usted:
-
Le rogamos que no realice ninguna acción que pueda perjudicar
o interrumpir XposedOrNot o a nuestros usuarios.
-
Le enviaremos un acuse de recibo en un plazo de 1 a 3 días
desde la recepción de su informe.
-
Respete la privacidad de nuestros usuarios y no intente
husmear en sus cuentas.
-
Realice pruebas únicamente en sus propias cuentas y
direcciones de correo electrónico.
-
Si encuentra una vulnerabilidad crítica que le da acceso a
nuestro servidor web o API, deténgase ahí y permítanos tomar
el control.
-
No comparta ningún detalle sobre el problema hasta que lo
hayamos resuelto.
-
Si intenta explotar la vulnerabilidad para beneficio personal,
tendremos que descalificar su informe.
Agradecemos su cooperación para ayudarnos a mantener segura
nuestra plataforma. ¡Trabajemos juntos para que XposedOrNot sea lo
mejor posible!