Program för sårbarhetsrapportering
LiveAgent strävar efter att hålla sin tjänst säker för alla, och datasäkerhet är av yttersta vikt. Vårt program för sårbarhetsrapportering är avsett att minimera påverkan som eventuella säkerhetsbrister har på våra verktyg eller deras användare. LiveAgents program för sårbarhetsrapportering täcker programvara som delvis eller huvudsakligen är skriven av Quality Unit.
Om du är en säkerhetsforskare och har upptäckt en säkerhetssårbarhet i tjänsten, uppskattar vi din hjälp med att rapportera den till oss privat och ge oss möjlighet att åtgärda den innan tekniska detaljer publiceras.
LiveAgent kommer att samarbeta med säkerhetsforskare när sårbarheter rapporteras till oss enligt beskrivningen här. Vi kommer att validera, svara på och åtgärda sårbarheter som stöd för vårt engagemang för säkerhet och integritet. Vi kommer inte att vidta rättsliga åtgärder mot, stänga av eller avsluta åtkomsten till tjänsten för dem som upptäcker och rapporterar säkerhetssårbarheter på ett ansvarsfullt sätt. LiveAgent förbehåller sig alla sina rättsliga rättigheter i händelse av bristande efterlevnad.
Rapportering
Dela detaljerna om eventuella misstänkta sårbarheter med LiveAgents utvecklingsteam på support@liveagent.com . Vänligen offentliggör inte dessa detaljer utanför denna process utan uttryckligt tillstånd.
När du rapporterar eventuella misstänkta sårbarheter, vänligen inkludera så mycket information som möjligt. Om du vill skicka in flera rapporter samtidigt, vänligen skicka endast en rapport (den viktigaste om möjligt) och vänta på svar.
Ersättning
Vi är glada att kunna erbjuda en belöning för sårbarhetsinformation som hjälper oss att skydda våra kunder som ett tack till de säkerhetsforskare som väljer att delta i vårt bug bounty-program. Den ordinarie belöningen är $100 per sårbarhet som skickas in och verifieras av vårt utvecklingsteam.
Vi kommer endast att belöna den första rapportören av en sårbarhet. Dubbletter av rapporter kommer inte att belönas.
Omfattning
Du får endast testa mot ett LiveAgent-konto för vilket du är kontoägare eller en agent som är auktoriserad av kontoägaren att utföra sådan testning. Till exempel:
- dindomän.ladesk.com
Belönade sårbarhetstyper
Vi kommer att belöna dig för följande typer av sårbarheter:
- Fjärrkommandoexekvering (RCE)
- SQL-injektion
- Bruten autentisering
- Bruten sessionshantering
- Åtkomstkontrollförbigång
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Öppen URL-omdirigering
- Katalogtraversering
Observera: Rapporter om när en angripare endast kan hota sitt eget konto med endast administratörsroll kommer inte att belönas med en belöning. XSS orsakad av en administratör kommer inte att belönas med en belöning.
För att kvalificera måste sårbarheten finnas i den senaste offentliga versionen (inklusive officiellt släppta offentliga betaversioner) av programvaran. Endast säkerhetssårbarheter kommer att kvalificera. Vi skulle älska om folk rapporterade andra buggar via lämpliga kanaler, men eftersom syftet med detta program är att åtgärda säkerhetssårbarheter, kommer endast buggar som leder till säkerhetssårbarheter att vara berättigade till belöningar. Andra buggar kommer att accepteras efter vårt gottfinnande.
Riktlinjer
Vänligen följ följande riktlinjer för att vara berättigad till belöningar under detta rapporteringsprogram:
- Modifiera inte permanent eller radera LiveAgent-värddata.
- Få inte avsiktligt tillgång till icke-offentlig LiveAgent-data mer än vad som är nödvändigt för att demonstrera sårbarheten.
- DDoS:a inte eller på annat sätt störa, avbryta eller försämra våra interna eller externa tjänster.
- Dela inte konfidentiell information som erhållits från LiveAgent, inklusive men inte begränsat till medlems- eller donatorbetalningsinformation, med någon tredje part.
- Social engineering är utanför omfattningen. Skicka inte nätfiske-e-postmeddelanden till, eller använd andra social engineering-tekniker mot, någon, inklusive QualityUnit-personal, medlemmar, leverantörer eller partners.
Dessutom, vänligen ge oss minst 90 dagar att åtgärda sårbarheten innan du offentligt diskuterar eller bloggar om den. Vårt team tror att säkerhetsforskare har rätt att rapportera sin forskning och att offentliggörande är mycket fördelaktigt, och förstår att det är en mycket subjektiv fråga om när och hur man ska hålla tillbaka detaljer för att minska risken för att sårbarhetsinformation missbrukas. Om du tror att tidigare offentliggörande är nödvändigt, vänligen låt oss veta så att vi kan inleda en konversation.
Ändringslogg
Vi informerar offentligt om alla åtgärdade säkerhetsproblem genom vår ändringslogg . Problem relaterade till säkerhet är markerade med taggen [Security].
