Nahlásenie bezpečnostného problému

Kontrolovanie cudzích formulárov je naša práca, preto berieme hlásenia o našich vlastných systémoch vážne. Ak ste našli zraniteľnosť vo formexposed, povedzte to, prosím, najprv nám.

Ako nahlásiť

Napíšte na security@formexposed.com. Uveďte, prosím, dotknutú adresu alebo komponent, kroky na reprodukciu a čo by s tým mohol útočník urobiť. Stačí aj krátke hlásenie – ak budeme potrebovať viac, opýtame sa.

Čo sľubujeme

Vaše hlásenie potvrdíme do troch pracovných dní a budeme Vás informovať až do jeho opravy.
Závažné problémy opravíme čo najrýchlejšie a dáme Vám vedieť, keď bude oprava nasadená.
Ak chcete, po oprave problému Vás uvedieme na tejto stránke.

Prosíme

testujte len so svojím vlastným účtom a na svojich vlastných weboch;
nepristupujte k väčšiemu množstvu cudzích údajov, než je potrebné na preukázanie problému, a to, čo ste videli, vymažte;
žiadne odopretie služby, záťažové testy ani automatizované skenovanie s vysokou frekvenciou;
žiadny spam, sociálne inžinierstvo ani fyzické útoky;
pred zverejnením čohokoľvek nám dajte primeraný čas (navrhujeme 90 dní).

Dobrá viera

Ak dodržíte tieto pravidlá, nepodnikneme proti Vám za Váš výskum žiadne právne kroky a nenahlásime Vás úradom.

Rozsah

V rozsahu: formexposed.com, form.exposed, plugin formexposed pre WordPress, rozšírenie pre TYPO3 a správanie nášho skenera (formexposed-bot).

Zvyčajne mimo rozsahu, pokiaľ nepreukážete konkrétny dopad: chýbajúce bezpečnostné hlavičky, nastavenia SPF/DMARC, clickjacking na stránkach bez akcií, čísla verzií, self-XSS.

Sme malá firma a odmeny (bounty) nevyplácame – ale sme vďační za každé hlásenie.