Zásady zveřejňování bezpečnostních informací PIXLR GROUP

Bereme bezpečnost našich systémů vážně a ceníme si bezpečnosti našich uživatelů, přispěvatelů, klientů a zákazníků. Zveřejňování bezpečnostních zranitelností nám pomáhá zajistit bezpečnost a soukromí našich uživatelů. Jeho účelem je poskytnout bezpečnostním výzkumníkům jasné pokyny pro provádění aktivit při objevování zranitelností a sdělit naše preference ohledně způsobu, jakým nám mají být objevené zranitelnosti předávány.

Pokyny

Podle těchto zásad „výzkum" znamená činnosti, při kterých:

• Nás co nejdříve upozorníte poté, co objevíte skutečný nebo potenciální bezpečnostní problém.
• Vynaložíte veškeré úsilí, abyste se vyhnuli porušení soukromí, zhoršení uživatelské zkušenosti, narušení produkčních systémů a zničení dat během bezpečnostního testování.
• Používáte exploity pouze v rozsahu nezbytném pro potvrzení přítomnosti zranitelnosti. Nepoužívejte exploit ke kompromitaci nebo exfiltraci dat, k vytvoření trvalého přístupu přes příkazový řádek nebo k použití exploitu pro přechod na jiné systémy.
• Nepředkládáte velké množství nekvalitních hlášení a/nebo hlášení s CVSS skóre nižším než 6.
• Používáte identifikované komunikační kanály k nahlášení informací o zranitelnosti; a
• Zachováváte informace o jakýchkoli zranitelnostech, které jste objevili, jako důvěrné mezi vámi a PIXLR GROUP, dokud nebudeme mít [90] dní na vyřešení problému.

Důvěrnost

Jakékoli informace, které najdete nebo shromáždíte o PIXLR GROUP nebo jakémkoli uživateli PIXLR GROUP prostřednictvím bezpečnostních chyb, musí být uchovávány jako důvěrné a používány pouze ve spojení s námi. Jakmile zjistíte, že zranitelnost existuje, nebo narazíte na jakákoli citlivá data (včetně osobně identifikovatelných informací, finančních informací nebo proprietárních informací či obchodních tajemství jakékoli strany), musíte svůj test zastavit, okamžitě nás upozornit a tyto údaje nikomu jinému nezveřejňovat.

Přístup k soukromým informacím jiných uživatelů a provádění akcí, které mohou negativně ovlivnit uživatele PIXLR GROUP, je přísně zakázáno. Nesmíte používat, zveřejňovat ani distribuovat žádné takové důvěrné informace, včetně, ale nejen, jakýchkoli informací týkajících se vašeho podání a informací, které získáte při výzkumu stránek PIXLR GROUP, bez předchozího písemného souhlasu PIXLR GROUP.

Testovací metody

V zájmu bezpečnosti našich uživatelů a zaměstnanců vás žádáme, abyste se zdrželi:

• Spamování.
• Sociálního inženýrství (včetně phishingu a vishingu) zaměstnanců, dodavatelů, přispěvatelů nebo klientů PIXLR GROUP.
• Jakýchkoli fyzických pokusů proti majetku nebo datovým centrům PIXLR GROUP.
• Kryptotěžby.
• Přístupu nebo pokusu o přístup k datům nebo informacím, které vám nepatří.
• Ničení nebo poškozování, nebo pokusu o zničení nebo poškození dat nebo informací, které vám nepatří.
• Způsobení nebo pokusu o způsobení stavu odepření služby (DoS/DDoS).

Pokud budete dodržovat tyto pokyny a okamžitě nás budete informovat, zavazujeme se:

Nezahájíme právní kroky proti bezpečnostním výzkumníkům, kteří se pokoušejí najít zranitelnosti v našich systémech a dodržují tyto zásady.

Nahlášení zranitelnosti

Věříme, že všechny technologie obsahují chyby a že veřejnost hraje klíčovou roli při identifikaci těchto chyb. Pokud se domníváte, že jste našli bezpečnostní zranitelnost v našem systému nebo platformě, okamžitě nám ji prosím zašlete e-mailem na adresu Sylvester@designs.ai.

Do svého hlášení prosím zahrňte následující podrobnosti:

• Popis umístění a potenciálního dopadu zranitelnosti;
• Podrobný popis kroků potřebných k reprodukci zranitelnosti (POC skripty, snímky obrazovky a komprimované záznamy obrazovky nám všechny pomáhají); a
• Vaše jméno/přezdívku
• V angličtině.

Způsobilost

Přijímáme hlášení na základě závažnosti ne menší než 6 podle CVSS 4. Konečná závažnost může být upravena tak, aby odrážela dopad nahlášené zranitelnosti na naše domény.

Více o hodnocení CVSS 4: https://www.first.org/cvss/calculator/4.0

V rozsahu

*.designs.ai

Mimo rozsah

Při hlášení zranitelností byste měli zvážit scénář útoku/zneužitelnost a bezpečnostní dopad chyby. Následující problémy jsou považovány za mimo rozsah tohoto programu a nepřijmeme žádný z následujících typů útoků:

• Útoky odepření služby
• Spam, sociální inženýrství nebo techniky e-mailového phishingu (např. phishing, vishing, smishing)
• Falšování e-mailů
• Jakákoli bezpečnostní zranitelnost na straně klienta (např. prohlížeče, pluginy)
• Zveřejnění verze softwaru
• Odražené stahování souborů
• Jakékoli problémy s fyzickým přístupem
• Veřejně přístupné stránky
• Jakákoli slabost nebo zveřejnění informací, které nevede k přímé zranitelnosti
• Výčet e-mailů nebo účtů
• Spuštění příkazu CSV a slabiny CSP
• Jakékoli zranitelnosti v aplikacích nebo webových stránkách třetích stran obecně nejsou v rozsahu našeho programu.

Změny podmínek

PIXLR GROUP si vyhrazuje právo kdykoli upravit nebo zrušit program a jeho zásady bez předchozího upozornění.

V souladu s tím může PIXLR GROUP kdykoli změnit tyto podmínky a/nebo své zásady zveřejněním revidované verze na webových stránkách PIXLR GROUP. Pokud budete po provedení změn podmínek nadále účastnit programu, přijímáte upravené podmínky.