Última atualização: 08 de março de 2021
Olá, caçadores de insetos! Estamos muito felizes por você estar aqui para nos ajudar a manter o XposedOrNot (XON) seguro e protegido. Eu estabeleci esta Política de Divulgação Responsável para garantir que todos joguem bem e nos ajudem a manter nossos serviços, site e rede protegidos contra quaisquer bugs ou vulnerabilidades incômodas.
Se você encontrar algo que precise da minha atenção, agradeço sua cooperação em investigar e denunciar de forma responsável, para que eu possa consertar o problema mais rápido do que uma bala em alta velocidade. Sua ajuda na divulgação de vulnerabilidades de segurança nos ajuda a manter todos os nossos usuários sãos e salvos.
Diretrizes para relatórios:
Ao relatar um bug ou vulnerabilidade, certifique-se de incluir o seguinte:
- Uma descrição clara do bug ou vulnerabilidade, com algumas evidências, como capturas de tela ou dados de saída. Não seja tímido, adoramos ver o que você encontrou!
- Uma descrição do impacto potencial da vulnerabilidade, apenas para sabermos com o que estamos lidando.
- Seu nome ou endereço preferido para que possamos lhe dar o reconhecimento que você merece em nosso XON Security Researcher Hall of Fame.
- Etapas exatas para reproduzir o problema para que possamos replicá-lo do nosso lado.
- Uma prova de conceito em vídeo é sempre apreciada, se você tiver uma.
- Qualquer informação relevante sobre plataformas, sistemas operacionais, versões, endereços IP ou URLs.
- Evidências de apoio, como registro ou rastreamento de dados, são sempre úteis.
- Sua avaliação de quão explorável o problema pode ser. Não iremos julgá-lo se for 10 em 10 na escala de explorabilidade.
Obrigado por ser um incrível caçador de bugs 🙌 e nos ajudar a manter o XposedOrNot (XON) são e salvo!
Envios válidos
- Inclusão de arquivos locais ou remotos
- Ignorar autenticação
- Travessia de diretório
- Vazamento de dados não autorizado/não intencional
- Execução remota de código (RCE)
- Injeção SQL/XXE e injeção de comando
- Scripting entre sites (XSS)
- Falsificação de solicitação no servidor (SSRF)
- Problemas de configuração incorreta em servidores ou API
- Problemas relacionados à autenticação e autorização
- Falsificações de solicitação entre sites (CSRF)
Domínios no escopo
- https://xposedornot.com
- https://api.xposedornot.com
- https://passwords.xposedornot.com
Usos da informação
Prometemos manter todas as informações sobre você e nossos serviços confidenciais. Então, por favor, não conte nada para ninguém fora da nossa equipe!
Nosso objetivo é tornar a Internet um lugar mais seguro e apreciamos os pesquisadores de segurança que nos ajudam a conseguir isso. Então, um grande obrigado 🙏 a você por fazer parte desse esforço! Ao divulgar de forma responsável quaisquer bugs ou vulnerabilidades que encontrar, você está nos ajudando a proteger nossos usuários e seus dados.
Política de Utilização Aceitável
Apenas um aviso: este não é o típico programa de recompensas por bugs, onde oferecemos recompensas em dinheiro por envios de vulnerabilidades. Não somos feitos de dinheiro (ainda). No entanto, se você relatar algo importante para nós, poderemos mostrar-lhe um pouco de amor e apreço em troca!
Apenas certifique-se de manter a ética, ok? Esperamos que você aja como um bom cidadão da Internet e siga as regras estabelecidas em nossa Política de Uso Aceitável. Mas se você fizer isso, teremos prazer em lhe dar algum reconhecimento em nossa página do Hall da Fama – que é como a nossa versão da Calçada da Fama de Hollywood, mas para pesquisadores de segurança. Então vá em frente, mostre suas habilidades e ajude-nos a tornar o XposedOrNot um lugar mais seguro para todos!
Repórteres de Bugs - Expectativas
Caçadores de bugs, estamos entusiasmados por ter vocês conosco para nos ajudar a tornar o XposedOrNot um lugar mais seguro para todos! Antes de começar, aqui estão algumas coisas que esperamos de você:
- Por favor, não faça nada que possa prejudicar ou atrapalhar o XposedOrNot ou nossos usuários.
- Enviaremos uma confirmação dentro de um a três dias após o recebimento do seu relatório.
- Respeite a privacidade dos nossos usuários e não tente bisbilhotar suas contas.
- Teste apenas em suas próprias contas e endereços de e-mail.
- Se você encontrar uma vulnerabilidade crítica que lhe dê acesso ao nosso servidor web ou API, pare por aí e deixe-nos assumir o controle.
- Não compartilhe detalhes sobre o problema até que o resolvamos.
- Se você tentar explorar a vulnerabilidade para ganho pessoal, teremos que desqualificar sua denúncia.
Agradecemos sua cooperação em nos ajudar a manter nossa plataforma segura. Vamos trabalhar juntos para tornar o XposedOrNot o melhor possível!