Политика безопасности

Поддерживаемые версии

Версия	Поддерживается
5.1.x
5.0.x
4.4.x
< 4.4

Квалификационные уязвимости

В программу, вероятно, будут включены любые проблемы проектирования или реализации, которые существенно влияют на конфиденциальность или целостность пользовательских данных. Распространённые примеры включают:

• межсайтовый скриптинг;
• подделку межсайтовых запросов;
• смешанные скрипты;
• ошибки аутентификации или авторизации;
• баги выполнения серверного кода.

Из-за беспокойства о доступности наших сервисов для всех пользователей, пожалуйста, не пытайтесь проводить DoS-атаки, использовать чёрные методы SEO, спамить людей, осуществлять грубую аутентификацию или делать другие сомнительные вещи. Мы также не рекомендуем использовать какие-либо инструменты тестирования на уязвимость, которые автоматически генерируют очень значительные объёмы трафика.

Неквалификационные уязвимости

Некоторые из обнаруженных проблем могут не соответствовать требованиям в зависимости от их последствий. Хотя мы рассматриваем их в каждом конкретном случае, вот некоторые из проблем, которые обычно не приносят денежного вознаграждения:

• баги, требующие крайне маловероятного взаимодействия с пользователем;
• перечисление пользователей;
• не связанные с безопасностью баги;
• злоупотребление.

Сообщение об уязвимости

1. При исследовании уязвимости, пожалуйста, нацеливайтесь только на свои собственные учётные записи. Никогда не пытайтесь получить доступ к чьим-либо данным и не участвуйте в какой-либо деятельности, которая может нарушить работу других пользователей или нанести им ущерб.
2. В случае если одна и та же уязвимость присутствует в нескольких продуктах, пожалуйста, объедините и отправьте один отчёт.
3. Если вы обнаружили уязвимость, свяжитесь с нами по адресу security@emqx.io.
4. Обратите внимание, что мы можем ответить только на технические отчёты об уязвимостях. Дубликаты не будут вознаграждены, первый отчёт о конкретной уязвимости будет вознаграждён.
5. Отчёт должен включать шаги по воспроизведению уязвимости в виде простого текста (не только видео или изображения).