โครงการรางวัลการค้นหาช่องโหว่ของ Tiquo
เรายินดีรับรายงานจากนักวิจัยที่ทดสอบและตรวจสอบช่องโหว่ด้วยตนเองอย่างรับผิดชอบ เพื่อช่วยดูแลความปลอดภัยของ Tiquo
ขั้นตอนการทำงาน
พบปัญหาที่อาจเป็นช่องโหว่ด้านความปลอดภัยในผลิตภัณฑ์ Tiquo
ส่งรายงานพร้อมรายละเอียดให้ทีมรักษาความปลอดภัยของเรา
เราตรวจสอบภายใน 24 ชั่วโมง ส่วนคำตอบอย่างเป็นทางการอาจตามมาภายหลัง
ทีมทดสอบตามขั้นตอนในรายงานและประเมินระดับความรุนแรง
เราแจ้งระดับความรุนแรงและจำนวนเงินรางวัลให้คุณทราบ
จ่ายรางวัลภายใน 30 วันหลังประเมินระดับความรุนแรง
Tiquo กำหนดความรุนแรงและรางวัลโดยประเมินผลกระทบจริง ความเป็นไปได้ในการโจมตี และขอบเขตของแต่ละรายงาน
เนื่องจากเราได้รับรายงานเท็จที่สร้างโดย AI หลายร้อยฉบับ เราจึงขอสงวนสิทธิ์ในการปฏิเสธหรือไม่ตอบกลับรายงานที่ไม่ได้ให้ข้อมูลที่เป็นจริงหรือมีคุณค่า
การทดสอบในโครงการล่าบั๊กบนบัญชี Tiquo ใด ๆ ในระบบใช้งานจริงต้องได้รับอนุมัติเป็นลายลักษณ์อักษรจาก Tiquo ล่วงหน้า หากคุณดำเนินกิจกรรมใด ๆ ที่มุ่งเป้าไปยังบัญชีเหล่านี้โดยไม่ได้รับอนุมัติดังกล่าว จะไม่มีการจ่ายรางวัล ไม่ว่าคุณจะค้นพบสิ่งใดก็ตาม
สิ่งที่อยู่ในขอบเขต
โครงการครอบคลุมรายการต่อไปนี้:
- tiquo.co
- จุดเชื่อมต่อ API ของ Tiquo
- แอป Tiquo สำหรับ iOS และ Android
- เว็บแอปและแดชบอร์ด tiquo.app
- ขั้นตอนการยืนยันตัวตนและตรวจสอบสิทธิ์
- กระบวนการชำระเงินและจัดการข้อมูล
- ฮาร์ดแวร์ Tiquo
สิ่งที่อยู่นอกขอบเขต
กรณีต่อไปนี้ไม่มีสิทธิ์ได้รับรางวัล:
- บริการหรือการเชื่อมต่อของบุคคลที่สามที่ Tiquo ไม่ได้เป็นเจ้าของ
- วิศวกรรมสังคมหรือฟิชชิงต่อพนักงานหรือลูกค้า Tiquo
- การโจมตีปฏิเสธการให้บริการ (DoS/DDoS)
- สแปมหรือการจำกัดอัตราที่ไม่มีผลกระทบด้านความปลอดภัยโดยตรง
- โครงการแยกที่ไม่มีข้อมูลอ่อนไหวหรือข้อมูลลูกค้า
- ช่องโหว่ที่ต้องใช้เบราว์เซอร์หรือแพลตฟอร์มที่ล้าสมัย
- ปัญหาที่เคยรายงานหรือเราทราบอยู่แล้ว
- รายงานอัตโนมัติ เชิงคาดเดา หรือสร้างด้วย AI ที่ไม่มีหลักฐานใช้งานจริงซึ่งตรวจสอบด้วยตนเอง
- ส่วนหัวความปลอดภัยที่ขาดหาย ข้อความผิดพลาดหรือรายละเอียดภายในที่ไม่ก่ออันตราย การหลอกคลิกบนหน้าที่ไม่มีข้อมูลละเอียดอ่อน การเปิดเผยเวอร์ชัน ซอฟต์แวร์ล้าสมัยที่ไม่มีวิธีโจมตีที่ใช้งานได้ และข้อค้นพบ XSS หรือ CORS เชิงทฤษฎีที่ไม่มีผลกระทบด้านความปลอดภัยที่พิสูจน์แล้ว
ระดับรางวัล
เฉพาะช่องโหว่ที่ทำซ้ำได้และมีผลกระทบด้านความปลอดภัยที่พิสูจน์แล้วเท่านั้นจึงมีสิทธิ์ได้รับรางวัล ระดับความรุนแรงขึ้นอยู่กับผลกระทบที่พิสูจน์แล้วและความสามารถในการใช้ประโยชน์ ไม่ใช่ชื่อช่องโหว่หรือคะแนนจากเครื่องมือสแกน รายงานที่ไม่มีผลกระทบอย่างมีนัยสำคัญจะไม่ได้รับเงินรางวัล
การเจาะระบบหลักที่ใช้งานจริงซึ่งพิสูจน์แล้วและส่งผลกระทบในวงกว้าง
วิธีโจมตีที่พิสูจน์แล้วว่าใช้งานได้และมีผลกระทบด้านความปลอดภัยที่มีนัยสำคัญ
ปัญหาที่ใช้โจมตีได้และมีผลกระทบที่มีนัยสำคัญแต่จำกัด รางวัลที่สูงกว่าต้องพิสูจน์ผลกระทบระดับสูงหรือวิกฤต
ช่องโหว่เล็กน้อยที่ทำซ้ำได้และมีผลกระทบด้านความปลอดภัยเล็กน้อยแต่พิสูจน์ได้
รางวัลเพิ่มเติม
เราอาจให้รางวัลเพิ่มเติมสำหรับรายงานที่ชัดเจนเป็นพิเศษ ผลกระทบในวงกว้าง การเชื่อมโยงช่องโหว่เพื่อแสดงวิธีโจมตี หรือความร่วมมือในการแก้ไข
แนวทางการส่งรายงาน
เพื่อให้เราตรวจสอบได้รวดเร็ว โปรดระบุ:
- 1คำอธิบายช่องโหว่ที่ชัดเจน
- 2ขั้นตอนการทำซ้ำโดยละเอียด
- 3URL จุดเชื่อมต่อ API หรือหน้าจอที่ได้รับผลกระทบ
- 4สภาพแวดล้อมที่ทดสอบ เบราว์เซอร์ ระบบปฏิบัติการ และอุปกรณ์
- 5ภาพหน้าจอหรือโค้ดที่ใช้พิสูจน์ช่องโหว่ หากมี
- 6การประเมินผลกระทบที่อาจเกิดขึ้น
ส่งหนึ่งช่องโหว่ต่อหนึ่งรายงาน หากพบหลายปัญหา ให้แยกรายงานแต่ละปัญหา
กฎการเข้าร่วม
- 1อย่าเข้าถึง แก้ไข หรือลบข้อมูลของผู้ใช้อื่น
- 2อย่าใช้เครื่องสแกนอัตโนมัติกับระบบจริงโดยไม่ได้รับอนุมัติเป็นลายลักษณ์อักษรล่วงหน้า
- 3อย่าเปิดเผยช่องโหว่ รายงาน หลักฐาน หรือรายละเอียดที่เกี่ยวข้องต่อสาธารณะ
- 4อย่าใช้ AI หรือโมเดลภาษาเขียนรายงาน เราต้องการงานวิจัยต้นฉบับจากการทดสอบด้วยตนเอง รายงานเชิงคาดเดาหรือไม่ผ่านการตรวจสอบจะถูกปฏิเสธ
- 5กระทำโดยสุจริตเสมอ
การคุ้มครองนักวิจัย
Tiquo จะไม่ดำเนินคดีกับนักวิจัยที่กระทำโดยสุจริตและปฏิบัติตามกฎ โครงการนี้อยู่ในดุลยพินิจของ Tiquo เราอาจแก้ไขหรือยุติได้ และคำตัดสินของเราถือเป็นที่สุด
ติดต่อ
ส่งรายงานไปที่:
security@tiquo.coเราตรวจสอบรายงานภายใน 24 ชั่วโมง คำตอบอย่างเป็นทางการอาจใช้เวลานานกว่า โดยจะประเมินเบื้องต้นภายใน 10 วันทำการ โปรดอย่าส่งข้อความเร่งติดตามสถานะ