Bug Bounty program
skin1 drži prave predmete i pravi novac za našu zajednicu, pa je sigurnost neupitna. Ako pronađeš ranjivost, prijavi je odgovorno i nagradit ćemo te za očuvanje sigurnosti platforme. Rasponi u nastavku su smjernice — konačne isplate ovise o potvrđenom utjecaju, iskoristivosti i kvaliteti prijave.
Opseg
Što smatramo valjanim metama za ovaj program.
- Autentifikacija, upravljanje sesijama i vektori preuzimanja računa
- Logika tradea i Marketa — manipulacija cijenama, dupliciranje predmeta, dvostruko trošenje
- Tokovi plaćanja i isplate, manipulacija saldom, zloupotreba povrata
- Injekcija na strani servera (SQLi, command, template) i RCE
- Pohranjeni ili reflektirani XSS i CSRF na autentificiranim akcijama
- IDOR / narušena kontrola pristupa koja izlaže podatke ili inventory drugih korisnika
- Integracija Steam trade bota i rukovanje inspect linkovima
- Self-XSS, clickjacking na neosjetljivim stranicama i nedostajući sigurnosni headeri bez funkcionalnog exploita
- Prijave o rate-limitingu, brute-forceu ili volumetrijskim DoS / DDoS napadima
- Socijalni inženjering, phishing ili fizički napadi na osoblje
- Prijave iz automatiziranih skenera bez potvrđenog, ponovljivog utjecaja
Razine nagrada
Ozbiljnost se procjenjuje pomoću CVSS-a plus stvarni utjecaj na korisnička sredstva i predmete.
| Ozbiljnost | Nagrada | Tipični nalazi |
|---|---|---|
| Nizak | €50 – €150 | Ograničen utjecaj — manje otkrivanje informacija, konfiguracijska greška niskog rizika. |
| Srednji | €150 – €600 | Pohranjeni XSS, CSRF na osjetljivim akcijama, IDOR koji izlaže ograničene korisničke podatke. |
| Visok | €600 – €2,500 | Preuzimanje računa, zaobilaženje kontrole pristupa, zloupotreba logike tradea/Marketa. |
| Kritičan | €2,500 – €10,000 | Daljinsko izvršavanje koda, masovna kompromitacija računa ili krađa sredstava/predmeta. |
- Nizak: Ograničen utjecaj — manje otkrivanje informacija, konfiguracijska greška niskog rizika.
- Srednji: Pohranjeni XSS, CSRF na osjetljivim akcijama, IDOR koji izlaže ograničene korisničke podatke.
- Visok: Preuzimanje računa, zaobilaženje kontrole pristupa, zloupotreba logike tradea/Marketa.
- Kritičan: Daljinsko izvršavanje koda, masovna kompromitacija računa ili krađa sredstava/predmeta.
Pravila angažmana
- 1Testiraj samo protiv vlastitog računa i nikad ne pristupaj, mijenjaj ili uništavaj podatke drugih korisnika.
- 2Prijavi svaki problem privatno i daj nam razumno vrijeme za ispravak prije bilo kakve objave.
- 3Ne pokreći automatizirane skenere koji degradiraju uslugu ili stvaraju ometajuće opterećenje.
- 4Priloži jasan, ponovljiv dokaz koncepta — nejasne prijave ne ispunjavaju uvjete za nagradu.
Istraživanje provedeno u dobroj vjeri i u skladu s ovim pravilima je autorizirano. Nećemo pokretati pravne postupke protiv tebe i svaku prijavu tretiramo kao povjerljivu dok se ispravak ne objavi.
Pošalji šifriranu prijavu s koracima reprodukcije, utjecajem i dokazom koncepta. Uključi svoj novčanik ili PayPal za isplatu nagrade.
Nagrade su diskrecijske i zahtijevaju valjanu, originalnu prijavu unutar opsega. skin1 osoblje i suradnici ne ispunjavaju uvjete.