الإبلاغ عن مشكلة أمنية.
إن كنت تعتقد أنك وجدت مشكلة أمنية في ShamashCyber، أبلغ عنها بشكل خاص. البلاغ الجيد هو الذي يمكّننا من إعادة إنتاج المشكلة وفهم أثرها دون وصول غير ضروري إلى بيانات أي شخص آخر.
أرسل البلاغات إلى العنوان أدناه، وضع الأصل أو الرابط المتأثر في أول الرسالة.
[email protected]-
01
ضمن النطاق
البلاغات التي تُظهر أثرًا حقيقيًا على السرية أو السلامة أو التوافر في خدمات ShamashCyber التي نديرها.
- المصادقة والجلسات. تجاوز المصادقة أو الجلسة، أو الوصول إلى حساب ليس حسابك.
- عزل مساحات العمل. الوصول إلى ملفات أو عمليات أو بيانات مستخدم آخر من مساحة عمل لا تملكها.
- خدمات الويب. ثغرات الخادم أو التطبيق ذات الأثر الواضح، مثل الحقن أو SSRF أو XSS مؤثر أو كشف أسرار.
- معاينات التطبيقات. عيوب في العزل أو التوجيه تكشف معاينة أو جلسة تخص شخصًا آخر.
-
02
خارج النطاق
هذه تخلق مخاطرة دون إثبات ثغرة، فنرجو عدم إرسالها.
- حجب الخدمة أو اختبار الحمل أو استنزاف الموارد.
- الهندسة الاجتماعية أو التصيّد أو أي استهداف للأشخاص.
- محاولات الوصول المادي، أو محاولات الاستيلاء على أجهزة أو حسابات.
- مشكلات في خدمات طرف ثالث لا تديرها ShamashCyber.
- مخرجات أدوات الفحص دون أثر مثبت ومسار قابل لإعادة الإنتاج.
- Self XSS أو ملاحظة نظرية لا تتجاوز أي حد ثقة.
-
03
قواعد البحث
أثبت المشكلة بأقل قدر ممكن من الوصول والتغيير.
- استخدم حسابات ومساحات عمل تملكها كلما أمكن ذلك.
- لا تقرأ بيانات مستخدم آخر أو تنسخها أو تعدّلها أكثر من الحد الأدنى اللازم لإظهار الأثر، ثم توقف.
- لا تنشئ آليات بقاء أو أبوابًا خلفية أو تغييرات مدمّرة.
- لا تسحب بيانات حقيقية أو أسرارًا أكثر مما يتطلبه الإثبات.
- لا تنشر تفاصيل الاستغلال قبل التنسيق معنا.
-
04
ما يجب أن يتضمنه البلاغ
البلاغ المفيد يوفر الوقت على الطرفين.
- ملخص قصير للمشكلة وأثرها الأمني.
- الرابط أو المكوّن أو السطح المتأثر في مساحة العمل.
- خطوات إعادة إنتاج دقيقة من نقطة بداية نظيفة.
- النتيجة التي لاحظتها والنتيجة التي كنت تتوقعها.
- إثبات مفهوم بحده الأدنى: طلب أو لقطة شاشة أو سجل.
- المتصفح ونظام التشغيل وأي تفصيل بيئي يؤثر في إعادة الإنتاج.
الحماية عند حسن النية
بالنسبة للبحث الذي يجري بحسن نية وضمن هذه السياسة، تعتبره ShamashCyber نشاطًا مصرّحًا به ولن تتخذ إجراءً قانونيًا بسببه وحده. وإن صادفت بيانات ليست لك، توقف ولا توسّع الوصول وأخبرنا بما رأيت.
بعد إرسال البلاغ
سنبذل جهدًا معقولًا للإقرار بالبلاغ ومراجعته وإعادة إنتاجه، وقد نطلب تفاصيل إضافية عندما تكون الخطوات ناقصة. وحين يكون الإصلاح ممكنًا، نفضّل تنسيق توقيت الإفصاح بدل مطالبة أحد بالصمت بلا حد.
النسبة والتقدير
إن أردت أن تُنسب إليك المساهمة باسم أو لقب معيّن، اذكر ذلك في البلاغ. يُمنح التقدير عندما يكون البلاغ صحيحًا ومفيدًا وعندما يكون النشر مناسبًا.
ننشر ملف security.txt في المسار المعياري وفق RFC 9116، ليتمكن الباحثون والأدوات من العثور على جهة التواصل وهذه السياسة.