الأمان
برنامج مكافآت اكتشاف الثغرات
تحتفظ skin1 بعناصر حقيقية وأموال حقيقية لمجتمعنا، لذا فالأمان غير قابل للتفاوض. إذا اكتشفت ثغرة، فأبلغ عنها بمسؤولية وسنكافئك على الحفاظ على أمان المنصة. النطاقات أدناه إرشادية — تعتمد المدفوعات النهائية على التأثير المُثبَت وقابلية الاستغلال وجودة البلاغ.
أقصى مكافأة
€10,000
خطورة حرجة
أول رد
≤ 48h
أيام عمل
ملاذ آمن
نعم
بحث بحسن نية
النطاق
ما نعتبره أهدافًا صالحة لهذا البرنامج.
ضمن النطاق
- المصادقة وإدارة الجلسات ومسارات الاستيلاء على الحسابات
- منطق التداول والسوق — التلاعب بالأسعار وتكرار العناصر والإنفاق المزدوج
- مسارات الدفع والسحب، والعبث بالرصيد، وإساءة استخدام الاسترداد
- الحقن من جانب الخادم (SQLi، الأوامر، القوالب) وتنفيذ التعليمات عن بُعد (RCE)
- ثغرات XSS المخزّنة أو المنعكسة وCSRF على الإجراءات المُصادَق عليها
- IDOR / خلل التحكم بالوصول الذي يكشف بيانات أو مخزون مستخدمين آخرين
- تكامل بوت التداول مع Steam والتعامل مع روابط الفحص
خارج النطاق
- Self-XSS، والنقر المخادع على الصفحات غير الحسّاسة، وترويسات الأمان المفقودة دون استغلال فعّال
- بلاغات تحديد المعدل، أو القوة الغاشمة، أو هجمات الحرمان من الخدمة (DoS / DDoS) الحجمية
- الهندسة الاجتماعية أو التصيّد أو الهجمات المادية على الموظفين
- بلاغات الماسحات الآلية دون تأثير مُثبَت وقابل لإعادة الإنتاج
مستويات المكافآت
تُقيَّم الخطورة باستخدام CVSS إضافةً إلى التأثير الواقعي على أموال المستخدمين وعناصرهم.
| الخطورة | المكافأة | أمثلة نموذجية |
|---|---|---|
| منخفضة | €50 – €150 | تأثير محدود — كشف معلومات بسيط، أو إعداد خاطئ منخفض المخاطر. |
| متوسطة | €150 – €600 | XSS مخزّن، أو CSRF على إجراءات حسّاسة، أو IDOR يكشف بيانات مستخدم محدودة. |
| عالية | €600 – €2,500 | الاستيلاء على الحساب، أو تجاوز التحكم بالوصول، أو إساءة استغلال منطق التداول/السوق. |
| حرجة | €2,500 – €10,000 | تنفيذ تعليمات عن بُعد، أو اختراق جماعي للحسابات، أو سرقة أموال/عناصر. |
- منخفضة: تأثير محدود — كشف معلومات بسيط، أو إعداد خاطئ منخفض المخاطر.
- متوسطة: XSS مخزّن، أو CSRF على إجراءات حسّاسة، أو IDOR يكشف بيانات مستخدم محدودة.
- عالية: الاستيلاء على الحساب، أو تجاوز التحكم بالوصول، أو إساءة استغلال منطق التداول/السوق.
- حرجة: تنفيذ تعليمات عن بُعد، أو اختراق جماعي للحسابات، أو سرقة أموال/عناصر.
قواعد المشاركة
- 1اختبر فقط على حسابك، ولا تصل أبدًا إلى بيانات مستخدمين آخرين أو تعدّلها أو تتلفها.
- 2أبلغ عن كل مشكلة بشكل خاص وامنحنا وقتًا معقولًا للمعالجة قبل أي إفصاح.
- 3لا تشغّل ماسحات آلية تُضعف الخدمة أو تولّد حملًا معطِّلًا.
- 4قدّم إثبات مفهوم واضحًا وقابلًا لإعادة الإنتاج — البلاغات المبهمة غير مؤهّلة للمكافأة.
الملاذ الآمن
البحث الذي يُجرى بحسن نية ووفقًا لهذه القواعد مصرَّح به. لن نتخذ إجراءات قانونية ضدك، ونتعامل مع كل بلاغ بسرّية تامة حتى إطلاق الإصلاح.
أبلغ عن ثغرة
أرسل بلاغًا مشفّرًا بالبريد يتضمن خطوات إعادة الإنتاج والتأثير وإثبات المفهوم. أرفق محفظتك أو PayPal لصرف المكافأة.
security@skin1.ggبصمة مفتاح PGP متاحة عند الطلب
المكافآت تقديرية وتتطلب بلاغًا صالحًا وأصليًا وضمن النطاق. موظفو skin1 والمتعاقدون معها غير مؤهّلين.