Trouvez une faille,
gagnez une récompense.
Aidez-nous à garder Play Digital Signage sûr. Nous récompensons les chercheurs en sécurité qui signalent les vulnérabilités de manière responsable.
Récompenses
selon la gravité.
Plus une faille pourrait faire de dégâts, plus la récompense est élevée.
Jusqu’à 1 000 $
CritiquePar exemple, obtenir l’accès à un serveur critique de notre infrastructure.
Environ 500 $
MoyenneFailles de gravité moyenne.
Environ 150 $
FaibleFailles de faible gravité.
Comment ça
marche.
Nous voulons être objectifs, récompenser le travail fourni et motiver celles et ceux qui aident à sécuriser notre service.
Signalez la faille
Décrivez comment la faille pourrait être exploitée lors d’une véritable attaque et comment vous la corrigeriez.
Envoyer un rapportNous la corrigeons et évaluons sa gravité
Nous corrigeons d’abord la faille, puis nous évaluons sa gravité.
Vous recevez une offre de récompense
Nous revenons vers vous avec une proposition de récompense. Vous pensez que nous avons mal évalué la gravité ? Dites-le-nous, avec d’autres exemples d’exploitation de la faille.
Ce que nous
ne récompensons pas.
Ce sont des problèmes connus ou hors périmètre. Certains ne peuvent pas être corrigés sans casser la compatibilité.
DDoS, force brute et phishing
Les attaques par déni de service et par force brute sont hors périmètre, tout comme l’ingénierie sociale visant nos utilisateurs (phishing, vishing, smishing).
Scripts dans l’aperçu web
Des scripts peuvent s’exécuter dans l’iframe de l’aperçu web afin de pouvoir intégrer des widgets externes. Il fonctionne sur un domaine séparé pour empêcher le vol de cookies. Nous ne récompensons qu’une attaque fonctionnelle, avec une démonstration et une correction, pas par exemple une fausse demande de mot de passe.
Données EXIF des fichiers téléversés
Les données EXIF ne sont pas supprimées des fichiers téléversés. Les fichiers téléversés sont pour la plupart privés : ce n’est donc pas une vulnérabilité.
Redirections du proxy
proxy.playsignage.com peut être amené à rediriger vers un autre domaine. Nous le savons, et ne pouvons pas le corriger sans casser la compatibilité.
Point d’accès public des listes de lecture
Toute personne qui connaît l’identifiant d’une liste de lecture peut la lire via l’API. C’est voulu, pour que les liens d’aperçu puissent être partagés.
Objets verrouillés
Le verrouillage des objets n’est vérifié que dans l’éditeur : l’API accepte donc toujours les modifications d’éléments verrouillés. Seuls des membres de confiance de l’équipe ont accès à une liste de lecture, le risque est donc négligeable.
Vous avez trouvé une vulnérabilité ?
Lisez nos règles de divulgation, puis envoyez-nous votre rapport.