Politique de divulgation de sécurité de PIXLR GROUP

Nous prenons la sécurité de nos systèmes au sérieux et nous accordons une grande importance à la sécurité de nos utilisateurs, contributeurs, clients et consommateurs. La divulgation des vulnérabilités de sécurité nous aide à garantir la sécurité et la confidentialité de nos utilisateurs. Cette politique vise à fournir aux chercheurs en sécurité des directives claires pour mener des activités de découverte de vulnérabilités et à communiquer nos préférences concernant la manière de nous soumettre les vulnérabilités découvertes.

Directives

Dans le cadre de cette politique, « recherche » désigne les activités dans lesquelles vous :

Nous informez dès que possible après avoir découvert un problème de sécurité réel ou potentiel.
Faites tous les efforts possibles pour éviter les violations de la vie privée, la dégradation de l'expérience utilisateur, la perturbation des systèmes de production et la destruction de données lors des tests de sécurité.
N'utilisez les exploits que dans la mesure nécessaire pour confirmer la présence d'une vulnérabilité. N'utilisez pas un exploit pour compromettre ou exfiltrer des données, établir un accès persistant en ligne de commande, ou utiliser l'exploit pour pivoter vers d'autres systèmes.
Ne soumettez pas un grand volume de rapports de faible qualité et/ou avec un score CVSS inférieur à 6.
Utilisez les canaux de communication identifiés pour nous signaler les informations sur les vulnérabilités ; et
Gardez confidentielles les informations sur toutes les vulnérabilités que vous avez découvertes entre vous et PIXLR GROUP jusqu'à ce que nous ayons eu [90] jours pour résoudre le problème.

Confidentialité

Toute information que vous trouvez ou collectez sur PIXLR GROUP ou tout utilisateur de PIXLR GROUP par le biais de bogues de sécurité doit rester confidentielle et être utilisée uniquement en relation avec nous. Une fois que vous avez établi qu'une vulnérabilité existe ou que vous rencontrez des données sensibles (y compris des informations personnellement identifiables, des informations financières ou des informations propriétaires ou des secrets commerciaux de toute partie), vous devez arrêter votre test, nous en informer immédiatement et ne divulguer ces données à personne d'autre.

L'accès aux informations privées d'autres utilisateurs et l'exécution d'actions pouvant affecter négativement les utilisateurs de PIXLR GROUP sont strictement interdits. Vous ne pouvez pas utiliser, divulguer ou distribuer de telles informations confidentielles, y compris, mais sans s'y limiter, toute information concernant votre soumission et les informations que vous obtenez lors de la recherche sur les sites de PIXLR GROUP, sans le consentement écrit préalable de PIXLR GROUP.

Méthodes de test

Dans l'intérêt de la sécurité de nos utilisateurs et de notre personnel, nous vous demandons de vous abstenir de :

Spam.
Ingénierie sociale (y compris le phishing et le vishing) du personnel, des sous-traitants, des contributeurs ou des clients de PIXLR GROUP.
Toute tentative physique contre les biens ou les centres de données de PIXLR GROUP.
Cryptominage.
Accéder ou tenter d'accéder à des données ou des informations qui ne vous appartiennent pas.
Détruire ou corrompre, ou tenter de détruire ou de corrompre, des données ou des informations qui ne vous appartiennent pas.
Provoquer ou tenter de provoquer une condition de déni de service (DoS/DDoS).

Si vous suivez ces directives et nous signalez immédiatement, nous nous engageons à :

Nous n'engagerons pas de poursuites judiciaires contre les chercheurs en sécurité tentant de trouver des vulnérabilités dans nos systèmes qui respectent cette politique.

Signaler une vulnérabilité

Nous pensons que toute technologie contient des bogues et que le public joue un rôle crucial dans l'identification de ces bogues. Si vous pensez avoir trouvé une vulnérabilité de sécurité dans notre système ou notre plateforme, veuillez nous l'envoyer immédiatement par e-mail à Sylvester@designs.ai.

Veuillez inclure les détails suivants dans votre rapport :

Description de l'emplacement et de l'impact potentiel de la vulnérabilité ;
Une description détaillée des étapes nécessaires pour reproduire la vulnérabilité (les scripts POC, les captures d'écran et les captures d'écran compressées nous sont tous utiles) ; et
Votre nom/pseudonyme
En anglais.

Éligibilité

Nous acceptons les rapports basés sur une gravité non inférieure à 6 selon CVSS 4. La gravité finale peut être ajustée pour refléter l'impact de la vulnérabilité signalée sur nos domaines.

Plus d'informations sur la notation CVSS 4 : https://www.first.org/cvss/calculator/4.0

Dans le périmètre

*.designs.ai

Hors périmètre

Lors du signalement de vulnérabilités, vous devez tenir compte du scénario d'attaque/exploitabilité et de l'impact sur la sécurité du bogue. Les problèmes suivants sont considérés comme hors du périmètre de ce programme, et nous n'accepterons aucun des types d'attaques suivants :

Attaques par déni de service
Spam, ingénierie sociale ou techniques de phishing par e-mail (par exemple, phishing, vishing, smishing)
Usurpation d'e-mail
Toute vulnérabilité de sécurité côté client (par exemple, navigateurs, plugins)
Divulgation de version de logiciel
Téléchargement de fichier réfléchi
Tout problème d'accès physique
Pages accessibles au public
Toute faiblesse ou divulgation d'informations qui ne conduit pas à une vulnérabilité directe
Énumération d'e-mails ou de comptes
Exécution de commandes CSV et faiblesses CSP
Toute vulnérabilité dans des applications ou des sites Web tiers n'entre généralement pas dans le cadre de notre programme.

Modifications des conditions

PIXLR GROUP se réserve le droit de modifier ou d'annuler le programme et ses politiques à tout moment, sans préavis.

En conséquence, PIXLR GROUP peut modifier ces conditions et/ou ses politiques à tout moment en publiant une version révisée sur le site Web de PIXLR GROUP. Vous acceptez les conditions modifiées si vous continuez à participer au programme après que des modifications ont été apportées aux conditions.