Политика раскрытия информации о безопасности PIXLR GROUP

Мы серьезно относимся к безопасности наших систем и ценим безопасность наших пользователей, участников, клиентов и заказчиков. Раскрытие уязвимостей безопасности помогает нам обеспечить безопасность и конфиденциальность наших пользователей. Это предназначено для предоставления исследователям безопасности четких руководств по проведению деятельности по обнаружению уязвимостей и для передачи наших предпочтений относительно того, как отправлять нам обнаруженные уязвимости.

Руководство

В рамках этой политики «исследование» означает деятельность, в которой вы:

Уведомляете нас как можно скорее после обнаружения реальной или потенциальной проблемы безопасности.
Прилагаете все усилия, чтобы избежать нарушений конфиденциальности, ухудшения пользовательского опыта, нарушения работы производственных систем и уничтожения данных во время тестирования безопасности.
Используете эксплойты только в той степени, которая необходима для подтверждения наличия уязвимости. Не используйте эксплойт для компрометации или извлечения данных, установления постоянного доступа к командной строке или использования эксплойта для перехода к другим системам.
Не отправляете большое количество низкокачественных отчетов и/или отчетов с оценкой CVSS менее 6.
Используете указанные каналы связи для сообщения нам информации об уязвимостях; и
Сохраняете конфиденциальность информации о любых обнаруженных вами уязвимостях между вами и PIXLR GROUP до тех пор, пока у нас не будет [90] дней для решения проблемы.

Конфиденциальность

Любая информация, которую вы находите или собираете о PIXLR GROUP или любом пользователе PIXLR GROUP через ошибки безопасности, должна храниться в тайне и использоваться только в связи с нами. Как только вы установите, что уязвимость существует, или столкнетесь с какими-либо конфиденциальными данными (включая личную информацию, финансовую информацию или конфиденциальную информацию или коммерческую тайну любой стороны), вы должны прекратить тестирование, немедленно уведомить нас и не раскрывать эти данные никому другому.

Доступ к личной информации других пользователей и выполнение действий, которые могут негативно повлиять на пользователей PIXLR GROUP, строго запрещены. Вы не можете использовать, раскрывать или распространять любую такую конфиденциальную информацию, включая, помимо прочего, любую информацию, касающуюся вашей заявки, и информацию, которую вы получаете при исследовании сайтов PIXLR GROUP, без предварительного письменного согласия PIXLR GROUP.

Методы тестирования

В интересах безопасности наших пользователей и персонала мы просим вас воздержаться от:

Спама.
Социальной инженерии (включая фишинг и вишинг) в отношении сотрудников, подрядчиков, участников или клиентов PIXLR GROUP.
Любых физических попыток против собственности или центров обработки данных PIXLR GROUP.
Криптомайнинга.
Доступа или попытки доступа к данным или информации, которые вам не принадлежат.
Уничтожения или повреждения, или попытки уничтожения или повреждения данных или информации, которые вам не принадлежат.
Создания или попытки создания условий отказа в обслуживании (DoS/DDoS).

Если вы следуете этим рекомендациям и немедленно сообщаете нам, мы обязуемся:

Мы не будем инициировать судебные иски против исследователей безопасности, пытающихся найти уязвимости в наших системах, которые придерживаются этой политики.

Сообщение об уязвимости

Мы считаем, что все технологии содержат ошибки, и что общественность играет решающую роль в выявлении этих ошибок. Если вы считаете, что обнаружили уязвимость безопасности в нашей системе или платформе, немедленно отправьте ее нам по электронной почте Sylvester@designs.ai.

Пожалуйста, включите следующие детали в ваш отчет:

Описание местоположения и потенциального воздействия уязвимости;
Подробное описание шагов, необходимых для воспроизведения уязвимости (POC-скрипты, скриншоты и сжатые записи экрана — все это нам помогает); и
Ваше имя/псевдоним
На английском языке.

Приемлемость

Мы принимаем отчеты на основе серьезности не менее 6 по CVSS 4. Окончательная серьезность может быть скорректирована с учетом влияния сообщенной уязвимости на наши домены.

Подробнее об оценке CVSS 4: https://www.first.org/cvss/calculator/4.0

В области охвата

*.designs.ai

Вне области охвата

При сообщении об уязвимостях вы должны учитывать сценарий атаки/эксплуатируемость и влияние ошибки на безопасность. Следующие проблемы считаются выходящими за рамки этой программы, и мы не будем принимать следующие типы атак:

Атаки типа «отказ в обслуживании»
Спам, социальная инженерия или методы фишинга по электронной почте (например, фишинг, вишинг, смишинг)
Подмена электронной почты
Любая уязвимость безопасности на стороне клиента (например, браузеры, плагины)
Раскрытие версии программного обеспечения
Отраженная загрузка файлов
Любые проблемы физического доступа
Общедоступные страницы
Любая слабость или раскрытие информации, которая не приводит к прямой уязвимости
Перечисление электронной почты или учетных записей
Выполнение команд CSV и слабые стороны CSP
Любые уязвимости в сторонних приложениях или веб-сайтах, как правило, не входят в область нашей программы.

Изменения в условиях

PIXLR GROUP оставляет за собой право изменять или отменять программу и ее политики в любое время без предварительного уведомления.

Соответственно, PIXLR GROUP может изменять эти условия и/или свои политики в любое время, размещая исправленную версию на веб-сайте PIXLR GROUP. Вы принимаете измененные условия, если продолжаете участвовать в программе после внесения изменений в условия.