Programme de primes aux bugs

Politique

Les consignes suivantes vous donnent une idée de ce que nous payons habituellement pour différentes catégories de problèmes de sécurité. Les problèmes de faible qualité peuvent être récompensés en dessous de ces niveaux, alors assurez-vous qu'il y a suffisamment d'informations pour que nous puissions reproduire votre problème et des instructions étape par étape, y compris comment reproduire votre problème. Les captures d'écran sont également utiles, mais assurez-vous de ne pas les rendre publiques avant de les soumettre pour suivre les règles de notre programme.

Récompenses

Règles de signalement

1. Signalez une vulnérabilité éligible dans le cadre de notre programme (ci-dessous).
2. Soyez la première personne à signaler la vulnérabilité.
3. Soyez raisonnable avec les méthodes d'analyse automatisées afin de ne pas dégrader les services.
4. Abstenez-vous de divulguer la vulnérabilité tant que nous ne l'avons pas résolue.
5. N'essayez JAMAIS d'accéder au compte ou aux données d'un utilisateur réel.
6. Vous ne devez pas divulguer, manipuler ou détruire des données utilisateur.
7. N'impactez pas les utilisateurs avec vos tests.

Dans la portée

1. app.luminpdf.com
2. luminpdf.com
3. Versions des applications Android et iOS
4. sign.luminpdf.com

Hors champ d'application

1. tools.luminpdf.com
2. help.luminpdf.com

Ce que nous recherchons

1. Cross-site scripting (XSS)
2. Cross-site request forgery (CSRF)
3. Insecure direct object reference (IDOR)
4. Account takeovers
5. SQL Injection
6. Authentication flaws
7. Remote code execution (RCE)
8. Server-side request forgery (SSRF)
9. XML External Entity Attacks (XXE)
10. Anything not listed but important

Ce que nous ne recherchons pas

1. Vulnerabilities requiring physical access to the victim's unlocked device
2. Denial of Service attacks
3. Brute Force attacks
4. Spam or Social Engineering techniques
5. Content Spoofing
6. Best practices concerns
7. Issues relating to Password Policy
8. Issues relating to token lifetime
9. User enumeration
10. Full-Path Disclosure on any property
11. CSRF-able actions that do not require authentication (or a session) to exploit
12. Reports related to missing security headers
13. CSV Injection
14. Reverse Tabnabbing
15. Bugs that do not represent any security risk
16. Vulnerabilities that are limited to unsupported browsers