Bug Bounty program
skin1 drži prave predmete i pravi novac za našu zajednicu, pa je bezbednost neupitna. Ako pronađeš ranjivost, prijavi je odgovorno i nagradićemo te što čuvaš platformu bezbednom. Rasponi ispod su smernice — konačne isplate zavise od potvrđenog uticaja, iskoristivosti i kvaliteta prijave.
Obim
Šta smatramo validnim ciljevima za ovaj program.
- Autentifikacija, upravljanje sesijama i vektori preuzimanja naloga
- Trade i Market logika — manipulacija cenama, dupliranje predmeta, dvostruko trošenje
- Tokovi plaćanja i isplate, menjanje salda, zloupotreba refundacija
- Server-side injection (SQLi, komandni, template) i RCE
- Stored ili reflected XSS i CSRF na autentifikovanim radnjama
- IDOR / narušena kontrola pristupa koja izlaže podatke ili inventar drugih korisnika
- Integracija Steam trade bota i rukovanje inspect linkovima
- Self-XSS, clickjacking na neosetljivim stranicama i nedostajući bezbednosni header-i bez funkcionalnog eksploata
- Prijave o rate-limiting-u, brute-force-u ili volumetrijskom DoS / DDoS-u
- Socijalni inženjering, phishing ili fizički napadi na osoblje
- Prijave iz automatizovanih skenera bez potvrđenog, reproducibilnog uticaja
Nivoi nagrada
Ozbiljnost se procenjuje pomoću CVSS-a plus stvarnog uticaja na sredstva i predmete korisnika.
| Ozbiljnost | Nagrada | Tipični nalazi |
|---|---|---|
| Nizak | €50 – €150 | Ograničen uticaj — manje otkrivanje informacija, nisko rizična pogrešna konfiguracija. |
| Srednji | €150 – €600 | Stored XSS, CSRF na osetljivim radnjama, IDOR koji izlaže ograničene podatke korisnika. |
| Visok | €600 – €2,500 | Preuzimanje naloga, zaobilaženje kontrole pristupa, zloupotreba trade/Market logike. |
| Kritičan | €2,500 – €10,000 | Daljinsko izvršavanje koda, masovna kompromitacija naloga ili krađa sredstava/predmeta. |
- Nizak: Ograničen uticaj — manje otkrivanje informacija, nisko rizična pogrešna konfiguracija.
- Srednji: Stored XSS, CSRF na osetljivim radnjama, IDOR koji izlaže ograničene podatke korisnika.
- Visok: Preuzimanje naloga, zaobilaženje kontrole pristupa, zloupotreba trade/Market logike.
- Kritičan: Daljinsko izvršavanje koda, masovna kompromitacija naloga ili krađa sredstava/predmeta.
Pravila angažovanja
- 1Testiraj samo na svom nalogu i nikada nemoj pristupati, menjati ili uništavati podatke drugih korisnika.
- 2Prijavi svaki problem privatno i daj nam razumno vreme da otklonimo pre bilo kakvog objavljivanja.
- 3Ne pokreći automatizovane skenere koji narušavaju uslugu ili stvaraju ometajuće opterećenje.
- 4Obezbedi jasan, reproducibilan proof-of-concept — nejasne prijave nemaju pravo na nagradu.
Istraživanje sprovedeno u dobroj veri i u skladu sa ovim pravilima je odobreno. Nećemo pokretati pravne radnje protiv tebe i svaku prijavu tretiramo kao poverljivu dok se popravka ne isporuči.
Pošalji šifrovanu prijavu sa koracima reprodukcije, uticajem i proof-of-concept-om. Uključi svoj novčanik ili PayPal za isplatu nagrade.
Nagrade su diskrecione i zahtevaju validnu, originalnu prijavu u okviru obima. skin1 osoblje i saradnici nemaju pravo učešća.