Chương trình săn lỗi nhận thưởng

Chính sách

Các hướng dẫn sau đây giúp bạn hiểu được những báo cáo về sự cố bảo mật khác nhau mà chúng tôi thường trả thưởng. Báo cáo với chất lượng thấp có thể được thưởng thấp hơn các bậc này, nên bạn vui lòng đảm bảo rằng có đủ thông tin để chúng tôi tạo lại sự cố bạn gặp phải, cùng với hướng dẫn từng bước bao gồm cách tạo lại sự cố bạn gặp phải. Ảnh chụp màn hình cũng hữu ích, nhưng bạn vui lòng đảm bảo không công khai những ảnh này trước khi gửi chúng để tuân theo quy tắc chương trình của chúng tôi.

Phần thưởng

Quy tắc báo cáo

1. Báo cáo lỗ hổng bảo mật đủ điều kiện nằm trong phạm vi chương trình của chúng tôi (bên dưới).
2. Là người đầu tiên báo cáo lỗ hổng bảo mật.
3. Sử dụng các phương pháp quét tự động một cách hợp lý để không làm giảm chất lượng dịch vụ.
4. Không tiết lộ lỗ hổng bảo mật cho đến khi chúng tôi giải quyết xong.
5. KHÔNG BAO GIỜ cố giành quyền truy cập vào tài khoản hoặc dữ liệu của người dùng thật.
6. Bạn không được làm rò rỉ, thao túng hoặc phá hủy bất kỳ dữ liệu nào của người dùng.
7. Không gây ảnh hưởng đến người dùng bằng thử nghiệm của bạn.

Trong phạm vi

1. app.luminpdf.com
2. luminpdf.com
3. Các phiên bản ứng dụng trên Android & iOS
4. sign.luminpdf.com

Ngoài phạm vi

1. tools.luminpdf.com
2. help.luminpdf.com

Những gì chúng tôi đang tìm kiếm

1. Cross-site scripting (XSS)
2. Cross-site request forgery (CSRF)
3. Insecure direct object reference (IDOR)
4. Account takeovers
5. SQL Injection
6. Authentication flaws
7. Remote code execution (RCE)
8. Server-side request forgery (SSRF)
9. XML External Entity Attacks (XXE)
10. Anything not listed but important

Những gì chúng tôi không đang tìm kiếm

1. Vulnerabilities requiring physical access to the victim's unlocked device
2. Denial of Service attacks
3. Brute Force attacks
4. Spam or Social Engineering techniques
5. Content Spoofing
6. Best practices concerns
7. Issues relating to Password Policy
8. Issues relating to token lifetime
9. User enumeration
10. Full-Path Disclosure on any property
11. CSRF-able actions that do not require authentication (or a session) to exploit
12. Reports related to missing security headers
13. CSV Injection
14. Reverse Tabnabbing
15. Bugs that do not represent any security risk
16. Vulnerabilities that are limited to unsupported browsers