Bug Bounty program
skin1 drží pre našu komunitu skutočné položky a skutočné peniaze, takže bezpečnosť je nespochybniteľná. Ak nájdeš zraniteľnosť, nahlás ju zodpovedne a my ťa odmeníme za udržanie platformy v bezpečí. Rozsahy nižšie sú orientačné — finálne výplaty závisia od overeného dopadu, zneužiteľnosti a kvality reportu.
Rozsah
Čo považujeme za platné ciele pre tento program.
- Autentifikácia, správa session a vektory prevzatia účtu
- Logika tradov a Marketu — manipulácia cien, duplikácia položiek, dvojité minutie
- Platobné a výberové toky, manipulácia so zostatkom, zneužitie refundov
- Server-side injection (SQLi, command, template) a RCE
- Uložené alebo reflektované XSS a CSRF pri autentifikovaných akciách
- IDOR / narušené riadenie prístupu odhaľujúce dáta alebo inventár iných používateľov
- Integrácia Steam trade botov a spracovanie inspect linkov
- Self-XSS, clickjacking na necitlivých stránkach a chýbajúce bezpečnostné hlavičky bez funkčného exploitu
- Reporty o rate-limitingu, brute-force alebo objemovom DoS / DDoS
- Sociálne inžinierstvo, phishing alebo fyzické útoky na personál
- Reporty z automatických skenerov bez overeného, reprodukovateľného dopadu
Úrovne odmien
Závažnosť sa hodnotí pomocou CVSS a reálneho dopadu na prostriedky a položky používateľov.
| Závažnosť | Odmena | Typické nálezy |
|---|---|---|
| Nízka | €50 – €150 | Obmedzený dopad — menšie odhalenie informácií, nízkorizikové zlé nastavenie. |
| Stredná | €150 – €600 | Uložené XSS, CSRF pri citlivých akciách, IDOR odhaľujúce obmedzené dáta používateľa. |
| Vysoká | €600 – €2,500 | Prevzatie účtu, obídenie riadenia prístupu, zneužitie logiky tradov/Marketu. |
| Kritická | €2,500 – €10,000 | Vzdialené vykonanie kódu, hromadné kompromitovanie účtov alebo krádež prostriedkov/položiek. |
- Nízka: Obmedzený dopad — menšie odhalenie informácií, nízkorizikové zlé nastavenie.
- Stredná: Uložené XSS, CSRF pri citlivých akciách, IDOR odhaľujúce obmedzené dáta používateľa.
- Vysoká: Prevzatie účtu, obídenie riadenia prístupu, zneužitie logiky tradov/Marketu.
- Kritická: Vzdialené vykonanie kódu, hromadné kompromitovanie účtov alebo krádež prostriedkov/položiek.
Pravidlá testovania
- 1Testuj len na vlastnom účte a nikdy nepristupuj k dátam iných používateľov, nemeň ich ani neničte.
- 2Každý problém nahlás súkromne a daj nám primeraný čas na nápravu pred akýmkoľvek zverejnením.
- 3Nespúšťaj automatické skenery, ktoré zhoršujú službu alebo generujú rušivú záťaž.
- 4Poskytni jasný, reprodukovateľný proof-of-concept — vágne reporty nemajú nárok na odmenu.
Výskum vykonaný v dobrej viere a v súlade s týmito pravidlami je autorizovaný. Nepodnikneme voči tebe právne kroky a každý report považujeme za dôverný, kým nie je nasadená oprava.
Pošli šifrovaný report s krokmi reprodukcie, dopadom a proof-of-concept. Prilož svoju peňaženku alebo PayPal na výplatu odmeny.
Odmeny sú na naše uváženie a vyžadujú platný, originálny report v rozsahu. Personál a dodávatelia skin1 nemajú nárok.