Bug Bounty program
A skin1 valódi tárgyakat és valódi pénzt kezel a közösségünk számára, így a biztonság nem alku tárgya. Ha sebezhetőséget találsz, jelentsd felelősségteljesen, és megjutalmazunk a platform biztonságáért. Az alábbi tartományok iránymutatások — a végső kifizetés a validált hatástól, a kihasználhatóságtól és a jelentés minőségétől függ.
Hatókör
Mit tekintünk érvényes célpontnak ebben a programban.
- Hitelesítés, munkamenet-kezelés és fiókátvételi vektorok
- Trade és Market logika — árbefolyásolás, tárgyduplikáció, dupla költés
- Fizetési és kifizetési folyamatok, egyenleg-manipuláció, visszatérítéssel való visszaélés
- Szerveroldali injektálás (SQLi, parancs, sablon) és RCE
- Tárolt vagy tükrözött XSS és CSRF hitelesített műveleteken
- IDOR / hibás hozzáférés-vezérlés, ami más felhasználók adatait vagy inventoryját tárja fel
- Steam trade-bot integráció és inspect-link kezelés
- Self-XSS, clickjacking nem érzékeny oldalakon, és hiányzó biztonsági fejlécek működő exploit nélkül
- Rate-limiting, brute-force vagy volumetrikus DoS / DDoS jelentések
- Social engineering, adathalászat vagy fizikai támadások a személyzet ellen
- Automatizált szkennerek jelentései validált, reprodukálható hatás nélkül
Jutalomszintek
A súlyosságot CVSS alapján és a felhasználói pénzekre és tárgyakra gyakorolt valós hatás szerint értékeljük.
| Súlyosság | Jutalom | Jellemző leletek |
|---|---|---|
| Alacsony | €50 – €150 | Korlátozott hatás — kisebb információszivárgás, alacsony kockázatú hibás konfiguráció. |
| Közepes | €150 – €600 | Tárolt XSS, CSRF érzékeny műveleteken, IDOR korlátozott felhasználói adatok feltárásával. |
| Magas | €600 – €2,500 | Fiókátvétel, hozzáférés-vezérlés megkerülése, trade/Market logikával való visszaélés. |
| Kritikus | €2,500 – €10,000 | Távoli kódfuttatás, tömeges fiókkompromittálás vagy pénz-/tárgylopás. |
- Alacsony: Korlátozott hatás — kisebb információszivárgás, alacsony kockázatú hibás konfiguráció.
- Közepes: Tárolt XSS, CSRF érzékeny műveleteken, IDOR korlátozott felhasználói adatok feltárásával.
- Magas: Fiókátvétel, hozzáférés-vezérlés megkerülése, trade/Market logikával való visszaélés.
- Kritikus: Távoli kódfuttatás, tömeges fiókkompromittálás vagy pénz-/tárgylopás.
Az együttműködés szabályai
- 1Csak a saját fiókod ellen tesztelj, és soha ne érj hozzá, ne módosítsd vagy semmisítsd meg más felhasználók adatait.
- 2Minden problémát privátban jelents, és adj ésszerű időt a javításra bármilyen közzététel előtt.
- 3Ne futtass automatizált szkennereket, amelyek rontják a szolgáltatást vagy zavaró terhelést generálnak.
- 4Adj világos, reprodukálható proof-of-conceptet — a homályos jelentések nem jogosultak jutalomra.
A jóhiszeműen és ezen szabályoknak megfelelően végzett kutatás engedélyezett. Nem indítunk jogi eljárást ellened, és minden jelentést bizalmasan kezelünk, amíg a javítás ki nem kerül.
Küldj titkosított jelentést a reprodukciós lépésekkel, a hatással és egy proof-of-concepttel. Add meg a tárcádat vagy PayPal-odat a jutalom kifizetéséhez.
A jutalmak diszkrecionálisak, és érvényes, eredeti, hatókörben lévő jelentést igényelnek. A skin1 alkalmazottai és megbízottai nem jogosultak.