Caza de errores

Aplicaciones móviles

La recompensa depende de la criticidad de la vulnerabilidad, la facilidad de operación y el impacto en los datos de los usuarios. La decisión sobre el nivel de criticidad a menudo se toma en conjunto con los desarrolladores, y esto puede llevar algún tiempo.

Excepciones al programa

SMS-Activate no paga ninguna recompensa por:

• informes de escáneres de seguridad y otras herramientas automatizadas ;
• divulgación de información no crítica, como el nombre del software o su versión ;
• divulgación de información pública del usuario;
• problemas y vulnerabilidades que se basan en la versión del producto utilizado, sin demostración de explotación ;
• información sobre direcciones IP, registros DNS y puertos abiertos de SMS-Activate ;
• mensajes de error de día cero en TLS;
• informes de cifrado SSL/TLS inseguros sin demostración de explotación ;
• falta de SSL y otros BCP (best current practice);
• ataques físicos a la propiedad de SMS-Activate o sus centros de datos ;
• problemas de falta de mecanismos de seguridad sin demostración de explotación que pueda afectar a los datos de los usuarios. Por ejemplo, la falta de tokens CSRF, Clickjacking, etc. ;
• Login / Logout CSRF u otras actividades sin impacto comprobado en la seguridad ;
• redirecciones abiertas, pero a menos que el problema afecte la seguridad del Servicio, por ejemplo, le permite robar un token de autenticación personalizado. Con este problema, puede calificar para ser agregado al Salón de la Fama ;
• inyección de fórmulas Excel y CSV;
• falta de políticas CSP en el dominio o configuración de CSP insegura ;
• XSS y CSRF, que requieren acciones adicionales del usuario. Las recompensas se pagan solo si afectan a los datos sensibles del usuario y se activan inmediatamente cuando se navega a una página especialmente formada, sin requerir acciones adicionales del usuario ;
• XSS que requiere incrustar o falsificar algún encabezado, por ejemplo, Host, user-Agent, Referer, Cookie, Etc. ;
• Tabnabbing-target= "_blank" en enlaces sin impacto probado en la seguridad ;
• Content spoofing, content injection o text injection sin efectos probados en la seguridad ;
• no hay banderas en las cookies no sensibles;
• tener un atributo de Autocompletar en formularios web;
• sin límite de tasa sin impacto probado en la seguridad;
• presencia o ausencia de registros SPF y DKIM;
• uso de una biblioteca vulnerable conocida sin demostración de explotación ;
• problemas que requieren el uso de técnicas de ingeniería social, mensajes de phishing ;
• ingeniería social de empleados o contratistas SMS-activate.org ;
• vulnerabilidades en los servicios asociados si los datos de los usuarios no se ven afectados SMS-activate.org ;
• mensajes de vulnerabilidad de contraseñas o políticas de contraseñas y otros datos de autenticación de usuarios ;
• vulnerabilidades en dispositivos móviles que requieren privilegios de root, jailbreak y cualquier otra modificación de aplicaciones o dispositivos ;
• divulgación de Access keys que tienen restricciones o están cosidos en. apk y no dan acceso a los datos personales ;
• vulnerabilidades que afectan solo a los usuarios de navegadores y plataformas obsoletos o vulnerables ;
• ataques que requieren acceso físico al dispositivo del usuario;
• el hecho de que existe la posibilidad de descompilar o usar el desarrollo inverso de aplicaciones ;