Bug Bounty program
skin1 čuva prave predmete i pravi novac za našu zajednicu, pa je sigurnost neizostavna. Ako nađeš propust, prijavi ga odgovorno i nagradit ćemo te za očuvanje sigurnosti platforme. Rasponi ispod su smjernice — konačne isplate zavise od potvrđenog uticaja, iskoristivosti i kvaliteta prijave.
Obim
Šta smatramo validnim metama za ovaj program.
- Autentikacija, upravljanje sesijama i vektori preuzimanja računa
- Logika trgovine i Marketa — manipulacija cijenama, dupliranje predmeta, dvostruko trošenje
- Tokovi plaćanja i isplata, mijenjanje balansa, zloupotreba povrata novca
- Server-side injection (SQLi, komanda, template) i RCE
- Pohranjeni ili reflektovani XSS i CSRF na autentikovanim radnjama
- IDOR / narušena kontrola pristupa koja izlaže podatke ili inventory drugih korisnika
- Integracija Steam trade-bota i rukovanje inspect linkovima
- Self-XSS, clickjacking na neosjetljivim stranicama i nedostajući sigurnosni headeri bez funkcionalnog exploita
- Prijave rate-limitinga, brute-force ili volumetrijskog DoS / DDoS
- Socijalni inženjering, phishing ili fizički napadi na osoblje
- Prijave automatskih skenera bez potvrđenog, ponovljivog uticaja
Nivoi nagrada
Ozbiljnost se procjenjuje pomoću CVSS-a plus stvarnog uticaja na korisnička sredstva i predmete.
| Ozbiljnost | Nagrada | Tipični nalazi |
|---|---|---|
| Nizak | €50 – €150 | Ograničen uticaj — manje otkrivanje informacija, pogrešna konfiguracija niskog rizika. |
| Srednji | €150 – €600 | Pohranjeni XSS, CSRF na osjetljivim radnjama, IDOR koji izlaže ograničene korisničke podatke. |
| Visok | €600 – €2,500 | Preuzimanje računa, zaobilaženje kontrole pristupa, zloupotreba logike trgovine/Marketa. |
| Kritičan | €2,500 – €10,000 | Daljinsko izvršavanje koda, masovna kompromitacija računa ili krađa sredstava/predmeta. |
- Nizak: Ograničen uticaj — manje otkrivanje informacija, pogrešna konfiguracija niskog rizika.
- Srednji: Pohranjeni XSS, CSRF na osjetljivim radnjama, IDOR koji izlaže ograničene korisničke podatke.
- Visok: Preuzimanje računa, zaobilaženje kontrole pristupa, zloupotreba logike trgovine/Marketa.
- Kritičan: Daljinsko izvršavanje koda, masovna kompromitacija računa ili krađa sredstava/predmeta.
Pravila angažmana
- 1Testiraj samo protiv vlastitog računa i nikad ne pristupaj, mijenjaj ili uništavaj podatke drugih korisnika.
- 2Prijavi svaki problem privatno i daj nam razumno vrijeme za ispravku prije bilo kakve objave.
- 3Ne pokreći automatske skenere koji degradiraju uslugu ili stvaraju ometajuće opterećenje.
- 4Priloži jasan, ponovljiv proof-of-concept — nejasne prijave ne ispunjavaju uslove za nagradu.
Istraživanje sprovedeno u dobroj vjeri i u skladu s ovim pravilima je autorizovano. Nećemo pokretati pravne radnje protiv tebe i svaku prijavu tretiramo kao povjerljivu dok se ispravka ne objavi.
Pošalji šifrovanu prijavu email-om s koracima za reprodukciju, uticajem i proof-of-concept-om. Uključi svoj novčanik ili PayPal za isplatu nagrade.
Nagrade su diskrecione i zahtijevaju validnu, originalnu prijavu u obimu. skin1 osoblje i saradnici ne ispunjavaju uslove.