CoreTech travaillant dur sur sécurité pour garder service sécurisé autant que possible mais nous savons que certains bugs ne sont pas découverts encore.
Si tu crois avoir trouvé un problème de sécurité dans les services listés dans notre scope (TARGET), nous travaillerons avec toi pour le résoudre promptement et nous assurer que tu es équitablement récompensé pour ta découverte.
| Min € | Max € | Type |
| Hall of Fame |
Low 1-2-3-4 Vulnérabilité aveugle, possibilité d'exploiter la vulnérabilité pour phishing |
|
| 50 € | 300 € |
Medium 5-6 Visualisation ou vol par un seul utilisateur (non systématique), Ralentissements système (machine serveur), Décryptage données, Visualisation données application |
| 300 € | 800 € |
High 7-8-9 Accès à données sensibles de tous les utilisateurs, Accès ou vol de données d'un utilisateur cible ou multiples utilisateurs, Accès à données système importantes |
| 800 € | 2000 € |
Critical 10 Accès critique aux systèmes, capacité d'encrypter serveurs, dommages majeurs à la société |
CoreTech peut fournir récompenses aux rapporteurs éligibles de vulnérabilités qualifiantes. Les montants de récompenses varient en fonction de la sévérité de la vulnérabilité rapportée.
CoreTech garde le droit de décider si le seuil minimum de sévérité est rencontré et si le scope du bug rapporté est en fait déjà couvert par une vulnérabilité précédemment rapportée. Les récompenses sont octroyées entièrement à la discrétion de CoreTech. Pour qualifier pour une récompense sous ce programme, tu devrais
Si la vulnérabilité rapportée, après une évaluation par le staff CoreTech, n'est pas parmi les payées, un score qui peut être visualisé dans le hall of fame sera assigné. À la réalisation de 50 points CoreTech il permettra de racheter un prix économique d'une valeur de 50 euros.
Si tu souhaites rapporter une vulnérabilité ou si la vulnérabilité que tu as découverte n'est pas incluse parmi celles spécifiées dans le programme Bug Bounty, s'il te plaît fais-nous savoir. Nous considérerons attentivement l'inclure sur la page des spécifications du programme.
Nous payons par :
| Type | Description | Niveau de risque |
| Injection Fichier |
|
|
| Broken Authentication |
|
|
| Exposition Données Sensibles |
|
|
| Vulnerable and Outdated Components |
|
|
| Command Injection |
|
|
| Injection SQL |
|
|
| Cryptographic Failures |
|
|
| Broken Access Control |
|
|
| XSS et Autres |
|
|
| Access to Systems |
|
|
| Session Hijacking |
|
|
Nous sommes heureux de travailler avec tous ceux qui soumettent des rapports valides qui nous aident à améliorer notre sécurité.
Cependant, seuls ceux qui répondent aux exigences d'éligibilité suivantes peuvent recevoir une récompense monétaire:
Nous entendons répondre et résoudre les problèmes signalés aussi rapidement que possible. Cela signifie que vous recevrez des mises à jour de progrès de notre part périodiquement. Notez que poster des détails ou conversations sur le rapport ou poster des détails qui reflètent négativement sur le programme et la marque CoreTech, entraînera une disqualification immédiate du programme.
Ils ne seront pas éligibles pour des récompenses en espèces.
Les bugs de sécurité hors périmètre ne sont actuellement pas éligibles pour des récompenses monétaires et seront traités comme une divulgation responsable.
Pour signaler une vulnérabilité valide nous vous demandons aimablement de:
*Si le formulaire ne semble pas fonctionner, nous vous demandons de nous envoyer un e-mail avec le sujet "Bug Bounty (Contactez-nous!)" à l'adresse e-mail developer@coretech.it. Les rapports avec un sujet ou e-mail différent peuvent être marqués comme spam par nos systèmes
*La vidéo Démonstration doit inclure des instructions détaillées sur comment exploiter la vulnérabilité pour attaquer la victime. Ce document doit être formulé d'une manière claire et reproductible afin que notre équipe responsable de l'analyse des rapports puisse l'évaluer avec précision. Il devrait être noté que les vulnérabilités qui peuvent seulement être exploitées dans un environnement local de l'attaquant ou nécessitent un accès physique à la machine de la victime ne seront pas prises en considération aux fins de rémunération.
Tous les 3 semaines nous examinons de nouveaux rapports de vulnérabilité. Veuillez noter que la demande de rappel sur la même vulnérabilité peut seulement être faite 3 semaines après le premier rapport. Les rappels reçus avant cette période seront considérés comme spam et, dans certains cas, pourraient influencer l'allocation des récompenses économiques.
By "sensitive data" we mean any non-public data.
By "critical access" we mean access to servers or services with admin permissions
By "major damage to society" we mean significant damage in terms of turnover or loss of data importanti in maniera irreversibile
By "language errors" we mean the display of errors from MySQL or other languages
By "Inactive or potential vulnerabilities" we mean all those vulnerabilities that do not lead to concrete damage but in some cases could lead to damage. For example an XXS that prints "1" but fails to do anything but print "1"
| Nickname | Reports | Point |
|---|---|---|
| m0m0x01d | 3 | / |
| jsafe | 1 | / |
| Ninebrainer | 1 | / |
| Yogesh | 1 | / |
| jayalakshmi | 3 | / |
| Sohit Kumar Mahato | 33 | 1345 |
| BrainStorm (aka Davide Bonsangue) | / | / |
| HARDIK (Linkedin) | 1 | 25 |
| mak (Linkedin) | 1 | 20 |
| 57hakur (Twitter) | 1 | 5 |
| Himanshu Sondhi | 1 | 25 |
| Hasibul Hasan Shawon (Twitter) | 2 | 100 |
| Mohammed Simo Latifi (Linkedin) | 1 | 150 |
| Estin Fripal | 1 | 150 |
