Bug Bounty Program
باگ‌های امنیتی جونیورا رو گزارش کن و جایزه بگیر!
قوانین
- باگ‌ها باید مربوط به دامنه یا زیردامنه‌های juniora.org، juniora.ir یا jnir.ir باشند.
- باگ نباید قبل از اطلاع به جونیورا در جایی منتشر شده باشد.
- نباید تلاش مخربی برای دسترسی به حساب کاربری یا اطلاعات کاربران دیگر و یا تغییر این اطلاعات صورت گرفته باشد. هیچ اطلاعات حساس یا داده‌های شخصی نباید فاش شود.
- نباید حمله مخربی به زیرساخت‌ها و سرویس‌های جونیورا صورت گرفته باشد.
- باگ‌های غیر فنی مانند حملات مبتنی بر مهندسی اجتماعی و phishing مورد قبول نیست.
- به باگی که جونیورا قبلاً از آن مطلع بوده است، تنها در صورتی که جزئیات دقیق‌تر و بیشتری نسبت به اطلاعات قبلی جونیورا به همراه راهکار دقیق برطرف کردن مشکل در اختیار قرار گیرد، پاداشی به پاس قدردانی تعلق می‌گیرد.
- برای دریافت پاداش، باید جزئیات دقیق مربوط به نحوه وقوع و reproduce کردن باگ به جونیورا تحویل داده شود.
- تیم فنی جونیورا شدت باگ (severity) را ارزیابی کرده و مبلغ bounty بر اساس آن مشخص خواهد شد.
- تمامی تعاملات گزارش‌دهنده با جونیورا محرمانه تلقی می‌شود و انتشار آن‌ها بدون اجازه از جونیورا مجاز نیست.
جدول میزان تأثیر آسیبپذیریها
میزان تأثیر آسیبپذیریها، معمولاً بر اساس جدول زیر تعیین می‌شود:
| درجه تأثیر | امتیاز CVSS | نمونه آسیبپذیریها |
|---|---|---|
Out of Scope |
- | - Open Redirect (POST-Based) - Self * - Directory Listing Enabled(Non-Sensitive Data Exposure) - Same-Site Scripting - Missing Certification Authority Authorization (CAA) Record - Unsafe File Upload - Clickjacking (Non-Sensitive Action) - Clickjacking (Form Input) - Captcha brute force - Exposed Admin Portal To Internet - Missing DNSSEC - Fingerprinting/Banner Disclosure - Reflected File Download (RFD) - Lack of Security Headers - Http Parameter Pollution - Session Fixation (Local Attack Vector) - Concurrent Logins - Token Leakage via Referer - Crowdsourcing/OCR Captcha Bypass - Lack of Verification/Notification Email - Allows Disposable Email Addresses for Registration - SSL Attack - Public Admin Login Page - Out of date libraries - SSRF (DNS Query Only) |
Low |
0.1 - 4.9 |
- Clickjacking (Sensitive Click-Based Action) - Open Redirect(GET-Based) - Clear-Text Password Submission (in HTTP) - Non-State Changing Cross-Site Request Forgery - SSRF (External) - Information Disclosure through Errors - Clickjacking(non-Sensitive Click-Based Action) - Weak Registration Implementation (Over HTTP) - SMS Flooding |
Medium |
5.0 - 6.9 |
- Account Takeover by User Interaction - Stored XSS without privieldge escalation - Reflected XSS - DOM based XSS - Insecure Direct Object Reference - Source Code Disclosure of Juniora websites - Partial Source Code Disclosure of one of private Juniora products - State Changing CSRF (Server Side Request Forgery) leads to higher impact like accessing files - Mass User Enumeration - Authorization Bypass - Unauthorized Access to Read and Write Part of Sensitive Data of a User - Server Side Request Forgery (without high impact) - CRLF Injection - Default credentials - iframe Injection - OAuth misusable misconfiguration - Second Factor Authentication (2FA) Bypass - Misusable misconfiguration of CAPTCHA implementation - Session Fixation (Remote Attack Vector) - Unauthorized Access to Services (API / Endpoints) - Excessively Privileged User / DBA - Delete a user Account - Sensitive Data Exposure (Some users) |
High |
7.0 - 8.9 |
- Subdomain Takeover - Unauthorized Access to Read and Write Sensitive Data of a User - Unauthorized Access to Read and Write Part of Sensitive Data of all User - Local File Inclusion - Complete Source Code Disclosure of one of private products - SSRF (Internal High Impact) - Authentication Bypass - Mass delete users accounts - Vertical/Horizontal Privilege Escalation - Sensitive Data Exposure (All users) except chat data - Stored XSS (Non-Privileged User to Priviledge user) |
Critical |
9.0 - 10.0 |
- Remote Command Execution - SQL/NoSQL/Command Injection - XML External Entity Injection - Mass Account Takeover (without User Interaction) - Sensitive Data Exposure for publicly accessible Services - Unauthorized Access to Read and Write Sensitive Data of All Users - Sensitive Data Exposure (All users) includes chat data - RCE on vital servers - Mass Defacement |
جدول قیمت‌گذاری
تیم فنی جونیورا با بهره‌گیری از جدول زیر، میزان آسیب‌پذیری دارایی‌ها را براساس CVSS v3.1 تعیین کرده و مبلغ جایزه را مشخص می‌کند:
| دسته‌بندی | امتیاز CVSS | مبلغ پرداختی |
|---|---|---|
Low |
0.1 - 4.9 |
تا ۲ میلیون تومان |
Medium |
5.0 - 6.9 |
بین ۵ تا ۷ میلیون تومان |
High |
7.0 - 8.9 |
بین ۱۰ تا ۱۳ میلیون تومان |
Critical |
9.0 - 10.0 |
بین ۱۵ تا ۲۰ میلیون تومان |