Pergoki kami — dapatkan imbalan.
Program kami sendiri. Kami menerima dua jenis temuan: kerentanan klasik (jalur A) dan bantahan atas laporan keamanan kami (jalur B). Tingkatan pembayaran berlaku sama untuk keduanya; imbalan dikreditkan ke saldo platform Anda.
Di mana Anda bisa berburu.
Dalam cakupan
- createyourvpn.com dan api.createyourvpn.com
- domain etalase milik Anda sendiri
- server uji yang ditetapkan secara eksplisit
Di luar cakupan
- server dan data mitra serta pengguna akhir
- penolakan layanan (DoS) / pengujian beban
- rekayasa sosial, spam, phishing
- akses fisik
Pengujian aktif hanya diperbolehkan di lingkungan preprod (pp.*), sehingga perburuan tidak pernah menyentuh mitra yang aktif atau pengguna mereka. Masalah yang juga memengaruhi produksi tetap dihitung — cukup reproduksi di lingkungan preprod.
Tingkatan pembayaran.
RCE; akses ke server lain atau kunci SSH; pelewatan otorisasi; membantah klaim SR tentang penyimpanan kunci
IDOR ke data orang lain; XSS dengan pembajakan sesi; membantah klaim SR lainnya
XSS dengan dampak terbatas; pengungkapan informasi internal
catatan praktik terbaik; header yang hilang tanpa eksploitasi
Singkat dan jujur.
- Jalankan uji aktif hanya di lingkungan preprod yang ditetapkan (pp.*) — jangan pernah terhadap produksi, server mitra, atau server pengguna.
- Imbalan hanya diberikan kepada pelapor pertama; duplikat mendapat kredit hall of fame.
- Bukti konsep yang dapat direproduksi wajib ada; 'Anda kehilangan header X' tanpa eksploitasi adalah hall of fame, bukan imbalan.
- Pengungkapan yang bertanggung jawab: 90 hari kerahasiaan; kami merespons dalam 72 jam.
- Safe harbor: kami tidak akan menuntut riset yang beritikad baik dan berada dalam cakupan.
- Uji hanya pada akun Anda sendiri.
- Di luar cakupan: server dan data mitra serta pengguna, penolakan layanan, rekayasa sosial, spam, akses fisik.
Menemukan sesuatu?
Kirim laporan dengan bukti konsep yang dapat direproduksi melalui email. Anda juga dapat menemukan kami melalui berkas security.txt di domain kami.