PIXLR GROUP セキュリティ開示ポリシー

当社はシステムのセキュリティを真剣に考えており、ユーザー、貢献者、クライアント、顧客のセキュリティを重視しています。セキュリティ脆弱性の開示は、ユーザーのセキュリティとプライバシーを確保するために役立ちます。本ポリシーは、セキュリティ研究者が脆弱性発見活動を行うための明確なガイドラインを提供し、発見された脆弱性を当社に提出する方法についての当社の希望を伝えることを目的としています。

ガイドライン

本ポリシーにおいて、「調査」とは以下の活動を意味します：

実際のまたは潜在的なセキュリティ問題を発見した後、できるだけ早く当社に通知すること。
セキュリティテスト中に、プライバシー侵害、ユーザーエクスペリエンスの低下、本番システムの中断、データの破壊を回避するためにあらゆる努力をすること。
脆弱性の存在を確認するために必要な範囲でのみエクスプロイトを使用すること。エクスプロイトを使用してデータを侵害または流出させたり、永続的なコマンドラインアクセスを確立したり、エクスプロイトを使用して他のシステムに移動したりしないこと。
大量の低品質レポートおよび/またはCVSSスコアが6未満のレポートを提出しないこと。
特定された通信チャネルを使用して脆弱性情報を当社に報告すること。
発見した脆弱性に関する情報を、当社が問題を解決するための[90]日間、あなた自身とPIXLR GROUPの間で機密に保つこと。

機密保持

セキュリティバグを通じてPIXLR GROUPまたはPIXLR GROUPユーザーについて発見または収集した情報は、機密として保持し、当社との関連でのみ使用する必要があります。脆弱性が存在することを確認した場合、または機密データ（個人を特定できる情報、財務情報、または当事者の専有情報または企業秘密を含む）に遭遇した場合は、テストを直ちに停止し、当社に直ちに通知し、このデータを他の誰にも開示しないでください。

他のユーザーの個人情報へのアクセス、およびPIXLR GROUPユーザーに悪影響を及ぼす可能性のある行為は厳しく禁止されています。PIXLR GROUPの事前の書面による同意なしに、提出に関する情報やPIXLR GROUPサイトを調査する際に取得した情報を含むがこれらに限定されない機密情報を使用、開示、または配布することはできません。

テスト方法

ユーザーとスタッフの安全のため、以下の行為を控えていただくようお願いします：

スパム行為。
PIXLR GROUPのスタッフ、契約者、貢献者、またはクライアントに対するソーシャルエンジニアリング（フィッシングやビッシングを含む）。
PIXLR GROUPの資産またはデータセンターに対する物理的な試み。
暗号通貨マイニング。
あなたに属さないデータまたは情報へのアクセス、またはアクセスの試み。
あなたに属さないデータまたは情報の破壊または破損、またはその試み。
サービス拒否（DoS/DDoS）状態の引き起こし、またはその試み。

これらのガイドラインに従い、直ちに当社に報告していただければ、当社は以下を約束します：

本ポリシーに従って当社のシステム内の脆弱性を発見しようとするセキュリティ研究者に対して、法的措置を開始しません。

脆弱性の報告

当社は、すべてのテクノロジーにはバグが含まれており、これらのバグを特定する上で一般の人々が重要な役割を果たすと考えています。当社のシステムまたはプラットフォームにセキュリティ脆弱性を発見したと思われる場合は、Sylvester@designs.ai にメールで直ちにご連絡ください。

レポートには以下の詳細を含めてください：

脆弱性の場所と潜在的な影響の説明。
脆弱性を再現するために必要な手順の詳細な説明（POCスクリプト、スクリーンショット、圧縮されたスクリーンキャプチャはすべて当社にとって役立ちます）。
あなたの名前/ハンドル。
英語で記載すること。

適格性

当社は、CVSS 4に基づく深刻度が6以上のレポートを受け付けます。最終的な深刻度は、当社のドメインに対する報告された脆弱性の影響を反映するように調整される場合があります。

CVSS 4スコアリングの詳細：https://www.first.org/cvss/calculator/4.0

対象範囲

*.designs.ai

対象外

脆弱性を報告する際は、攻撃シナリオ/悪用可能性、およびバグのセキュリティへの影響を考慮する必要があります。以下の問題は本プログラムの対象外と見なされ、以下のタイプの攻撃は受け付けません：

サービス拒否攻撃
スパム、ソーシャルエンジニアリング、またはメールフィッシング技術（フィッシング、ビッシング、スミッシングなど）
メールスプーフィング
クライアント側のセキュリティ脆弱性（ブラウザ、プラグインなど）
ソフトウェアバージョンの開示
リフレクテッドファイルダウンロード
物理的なアクセスの問題
公開アクセス可能なページ
直接的な脆弱性につながらない弱点または情報の開示
メールまたはアカウントの列挙
CSVコマンド実行およびCSPの弱点
サードパーティのアプリまたはウェブサイトの脆弱性は、一般的に当社のプログラムの対象外です。

規約の変更

PIXLR GROUPは、事前の通知なしに、いつでもプログラムおよびそのポリシーを変更またはキャンセルする権利を留保します。

したがって、PIXLR GROUPは、PIXLR GROUPのウェブサイトに改訂版を掲載することにより、いつでもこれらの規約および/またはそのポリシーを修正することができます。規約に変更が加えられた後もプログラムに参加し続ける場合、修正された規約に同意したものとみなされます。