Programa de Divulgação de Vulnerabilidades
O LiveAgent se esforça para manter seu serviço seguro para todos, e a segurança dos dados é de extrema importância. Nosso Programa de Divulgação de Vulnerabilidades foi criado para minimizar o impacto que qualquer falha de segurança possa ter em nossas ferramentas ou em seus usuários. O Programa de Divulgação de Vulnerabilidades do LiveAgent cobre software parcial ou principalmente escrito pela Quality Unit.
Se você é um pesquisador de segurança e descobriu uma vulnerabilidade de segurança no Serviço, agradecemos sua ajuda ao divulgá-la para nós de forma privada e nos dar a oportunidade de corrigi-la antes de publicar detalhes técnicos.
O LiveAgent se envolverá com pesquisadores de segurança quando vulnerabilidades forem reportadas a nós conforme descrito aqui. Validaremos, responderemos e corrigiremos vulnerabilidades em apoio ao nosso compromisso com segurança e privacidade. Não tomaremos ações legais contra, suspenderemos ou encerraremos o acesso ao Serviço daqueles que descobrem e reportam vulnerabilidades de segurança de forma responsável. O LiveAgent se reserva todos os seus direitos legais em caso de qualquer não conformidade.
Reportagem
Compartilhe os detalhes de qualquer vulnerabilidade suspeita com o Equipe de Desenvolvimento do LiveAgent em support@liveagent.com . Por favor, não divulgue publicamente esses detalhes fora deste processo sem permissão explícita.
Ao reportar qualquer vulnerabilidade suspeita, inclua o máximo de informações possível. Se você deseja enviar múltiplos relatórios de uma vez, por favor envie apenas um relatório (o mais importante se possível) e aguarde uma resposta.
Compensação
Temos o prazer de oferecer uma recompensa por informações de vulnerabilidade que nos ajudem a proteger nossos clientes como agradecimento aos pesquisadores de segurança que escolhem participar do nosso programa de recompensa por vulnerabilidades. A recompensa regular é de $100 por vulnerabilidade enviada e verificada por nossa equipe de desenvolvimento.
Apenas o primeiro relator de uma vulnerabilidade será recompensado. Relatórios duplicados não serão recompensados.
Escopo
Você só pode testar contra uma Conta do LiveAgent da qual você é o Proprietário da Conta ou um Agente autorizado pelo Proprietário da Conta para realizar tal teste. Por exemplo:
- seudominio.ladesk.com
Tipos de Vulnerabilidades Recompensadas
Recompensaremos você pelos seguintes tipos de vulnerabilidades:
- Execução Remota de Comando (RCE)
- Injeção SQL
- Autenticação Quebrada
- Gerenciamento de Sessão Quebrado
- Bypass de Controle de Acesso
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Redirecionamento de URL Aberto
- Travessia de Diretório
Nota: Relatórios de quando um atacante pode apenas ameaçar sua própria conta com função de Administrador não serão recompensados com uma bounty. XSS causado por um Administrador não será recompensado com uma bounty.
Para se qualificar, a vulnerabilidade deve existir na versão pública mais recente (incluindo betas públicas oficialmente lançadas) do software. Apenas vulnerabilidades de segurança se qualificarão. Adoraríamos se as pessoas reportassem outros bugs através dos canais apropriados, mas como o propósito deste programa é corrigir vulnerabilidades de segurança, apenas bugs que levam a vulnerabilidades de segurança serão elegíveis para recompensas. Outros bugs serão aceitos a nosso critério.
Diretrizes
Por favor, siga as seguintes diretrizes para ser elegível para recompensas sob este programa de divulgação:
- Não modifique permanentemente ou delete dados hospedados do LiveAgent.
- Não acesse intencionalmente dados não públicos do LiveAgent mais do que o necessário para demonstrar a vulnerabilidade.
- Não faça DDoS ou de outra forma interrompa, interfira ou degrade nossos serviços internos ou externos.
- Não compartilhe informações confidenciais obtidas do LiveAgent, incluindo mas não limitado a informações de pagamento de membros ou doadores, com qualquer terceiro.
- Engenharia social está fora do escopo. Não envie emails de phishing para, ou use outras técnicas de engenharia social contra, ninguém, incluindo funcionários da QualityUnit, membros, fornecedores ou parceiros.
Além disso, por favor nos permita pelo menos 90 dias para corrigir a vulnerabilidade antes de discuti-la publicamente ou escrever sobre ela. Nossa equipe acredita que pesquisadores de segurança têm o direito de reportar sua pesquisa e que a divulgação é altamente benéfica, e entende que é uma questão altamente subjetiva quando e como reter detalhes para mitigar o risco de que informações de vulnerabilidade sejam mal utilizadas. Se você acredita que uma divulgação anterior é necessária, por favor nos avise para que possamos iniciar uma conversa.
Registro de Alterações
Informamos publicamente sobre todos os problemas de segurança corrigidos através do nosso registro de alterações . Problemas relacionados à segurança são marcados pela tag [Security].
