Trova un bug,
ottieni una ricompensa.
Aiutaci a tenere sicuro Play Digital Signage. Ricompensiamo i ricercatori di sicurezza che segnalano le vulnerabilità in modo responsabile.
Ricompense in base
alla gravità.
Più danno può fare un bug, più alta è la ricompensa.
Fino a 1.000 $
CriticaPer esempio, ottenere l’accesso a un server critico della nostra infrastruttura.
Circa 500 $
MediaBug di gravità media.
Circa 150 $
BassaBug di gravità bassa.
Come
funziona.
Puntiamo a essere obiettivi, a ricompensare il lavoro serio e a tenere motivato chi ci aiuta a rendere sicuro il servizio.
Segnala il bug
Descrivi come il bug potrebbe essere usato in un attacco reale e come lo correggeresti.
Invia una segnalazioneLo correggiamo e valutiamo la gravità
Prima correggiamo il bug, poi giudichiamo quanto è grave.
Ricevi una proposta di ricompensa
Ti rispondiamo con una ricompensa proposta. Pensi che abbiamo valutato male la gravità? Diccelo, con altri esempi di come si può usare il bug.
Cosa non
ricompensiamo.
Sono problemi noti o fuori dal programma. Alcuni non si possono correggere senza rompere la compatibilità.
DDoS, brute force e phishing
Gli attacchi denial-of-service e brute force sono fuori dal programma, come il social engineering degli utenti (phishing, vishing, smishing).
Script nell’anteprima web
Gli script possono girare nell’iframe dell’anteprima web, così si possono incorporare widget esterni. Gira su un dominio separato per evitare il furto dei cookie. Ricompensiamo solo un attacco che funziona, con una dimostrazione e una correzione, non per esempio una finta richiesta di password.
Dati EXIF nei caricamenti
I dati EXIF non vengono rimossi dai file caricati. I caricamenti sono per lo più privati, quindi non è una vulnerabilità.
Reindirizzamenti del proxy
proxy.playsignage.com può essere indotto a reindirizzare verso un altro dominio. Lo sappiamo, e non possiamo correggerlo senza rompere la compatibilità.
Endpoint pubblico delle playlist
Chi conosce l’ID di una playlist può leggerla tramite l’API. È voluto, così i link di anteprima si possono condividere.
Oggetti bloccati
Il blocco degli oggetti si controlla solo nell’editor, quindi l’API accetta ancora modifiche agli elementi bloccati. Solo i membri fidati del team hanno accesso a una playlist, quindi il rischio è trascurabile.
Hai trovato una vulnerabilità?
Leggi le regole di divulgazione, poi inviaci la segnalazione.