الإبلاغ عن ثغرة أمنية

إذا وجدت مشكلة أمنية في CatalogBadge فنحن نريد أن نعرف. راسلنا علىsecurity@catalogbadge.com مع خطوات إعادة المشكلة، وما يمكن للمهاجم فعله بها، والاسم الذي تحب أن نذكرك به.

ما نلتزم به

• ردّ خلال 3 أيام عمل، ثم إطلاعك على التقدّم حتى يُصلَح الخلل.
• لن نتخذ أي إجراء قانوني ضدك على فحص يلتزم بالقواعد في هذه الصفحة، وإذا اشتكى طرف آخر فسنؤكد أنك عملت بإذننا.
• نذكر اسمك في هذه الصفحة بعد نشر الإصلاح، إن رغبت.

لا نقدّم حاليًا مكافآت مالية على الثغرات.

النطاق

• catalogbadge.com وapp.catalogbadge.com وfeeds.catalogbadge.com وimg.catalogbadge.com
• تطبيقات CatalogBadge وإضافاته للمتاجر (Shopify وسلة وزد وYouCan وWix وBigCommerce وWooCommerce وMagento) وإضافة كروم

أكثر ما يهمنا: قراءة متاجر عميل آخر أو خلاصاته أو صوره أو تعديلها، والوصول إلى لوحة الإدارة، وجعل خوادمنا تجلب عناوين داخلية، وتزوير تثبيت تطبيق أو إشعار من منصة، وأي شيء يضع سعرًا خاطئًا على صورة إعلان عميل.

القواعد

• افحص فقط بحساب ومتاجر أنشأتها بنفسك.
• إذا وصلت إلى بيانات عميل آخر فتوقف، ولا تحتفظ بها أو تشاركها، وأخبرنا فورًا.
• لا لهجمات حجب الخدمة أو اختبارات الحمل أو الفحص الكثيف (أقل من 5 طلبات في الثانية)، ولا رسائل مزعجة عبر نماذج الدخول أو التواصل، ولا هندسة اجتماعية لفريقنا أو عملائنا، ولا هجمات مادية.
• لا تفحص المنصات التي نتصل بها (Shopify وسلة وميتا وCloudflare وDodo Payments وغيرها) عبرنا، وأبلغها هي عن مشكلاتها.
• أبقِ التفاصيل سرية حتى نصلح الخلل، أو 90 يومًا من بلاغك، أيهما أقرب.

ما لا نقبله عادةً

• تقارير أدوات الفحص الآلي دون دليل عملي على الأثر
• غياب ترويسات أو خصائص ملفات تعريف الارتباط أو سجلات البريد (SPF وDKIM وDMARC) دون هجوم عملي
• clickjacking لصفحات بلا إجراء، وself-XSS، وCSRF على تسجيل الخروج
• إظهار أرقام إصدارات البرامج، وحدود المعدّل على إجراءات لا تكلّف شيئًا

شكر وتقدير

لا أحد بعد. قد يكون اسمك أول اسم هنا.