Program Bug Bounty
skin1 hrani prave predmete in pravi denar za našo skupnost, zato je varnost nepogrešljiva. Če najdeš ranljivost, jo odgovorno prijavi in nagradili te bomo za ohranjanje varnosti platforme. Spodnji razponi so smernice — končna izplačila so odvisna od potrjenega vpliva, izkoristljivosti in kakovosti prijave.
Obseg
Kaj štejemo za veljavne cilje tega programa.
- Avtentikacija, upravljanje sej in vektorji prevzema računa
- Logika menjav in tržnice — manipulacija cen, podvajanje predmetov, dvojna poraba
- Tokovi plačil in izplačil, poseganje v stanje, zloraba vračil
- Vrivanje na strani strežnika (SQLi, ukaz, predloga) in RCE
- Shranjeni ali odbiti XSS in CSRF pri avtenticiranih dejanjih
- IDOR / okvarjen nadzor dostopa, ki izpostavi podatke ali inventar drugih uporabnikov
- Integracija s Steam trgovalnimi boti in obravnava inspect povezav
- Self-XSS, clickjacking na neobčutljivih straneh in manjkajoče varnostne glave brez delujočega izkoriščanja
- Prijave omejevanja hitrosti, napadov z grobo silo ali volumetričnih DoS / DDoS
- Družbeni inženiring, phishing ali fizični napadi na osebje
- Prijave iz avtomatiziranih skenerjev brez potrjenega, ponovljivega vpliva
Ravni nagrad
Resnost se ocenjuje z uporabo CVSS ter dejanskega vpliva na sredstva in predmete uporabnikov.
| Resnost | Nagrada | Tipične ugotovitve |
|---|---|---|
| Nizka | €50 – €150 | Omejen vpliv — manjše razkritje informacij, napačna konfiguracija z nizkim tveganjem. |
| Srednja | €150 – €600 | Shranjeni XSS, CSRF pri občutljivih dejanjih, IDOR z izpostavitvijo omejenih uporabniških podatkov. |
| Visoka | €600 – €2,500 | Prevzem računa, obhod nadzora dostopa, zloraba logike menjav/tržnice. |
| Kritična | €2,500 – €10,000 | Oddaljeno izvajanje kode, množično ogrožanje računov ali kraja sredstev/predmetov. |
- Nizka: Omejen vpliv — manjše razkritje informacij, napačna konfiguracija z nizkim tveganjem.
- Srednja: Shranjeni XSS, CSRF pri občutljivih dejanjih, IDOR z izpostavitvijo omejenih uporabniških podatkov.
- Visoka: Prevzem računa, obhod nadzora dostopa, zloraba logike menjav/tržnice.
- Kritična: Oddaljeno izvajanje kode, množično ogrožanje računov ali kraja sredstev/predmetov.
Pravila sodelovanja
- 1Testiraj samo na svojem računu in nikoli ne dostopaj, spreminjaj ali uničuj podatkov drugih uporabnikov.
- 2Vsako težavo prijavi zasebno in nam daj razumen čas za odpravo pred kakršnim koli razkritjem.
- 3Ne zaganjaj avtomatiziranih skenerjev, ki poslabšajo storitev ali ustvarijo moteče obremenitve.
- 4Zagotovi jasen, ponovljiv dokaz koncepta — nejasne prijave niso upravičene do nagrade.
Raziskave, izvedene v dobri veri in v skladu s temi pravili, so dovoljene. Proti tebi ne bomo sprožili pravnih ukrepov, vsako prijavo pa obravnavamo kot zaupno, dokler ni objavljen popravek.
Pošlji šifrirano prijavo s koraki za ponovitev, vplivom in dokazom koncepta. Priloži svojo denarnico ali PayPal za izplačilo nagrade.
Nagrade so diskrecijske in zahtevajo veljavno, izvirno prijavo v obsegu. Osebje in pogodbeniki skin1 niso upravičeni.