Управление Уязвимостями и прочее

Не грех пошарить важную новость:



"Тинькофф запустил публичную программу по поиску ошибок и уязвимостей в своих сервисах за вознаграждение на платформе BI.ZONE Bug Bounty. В ней могут участвовать любые исследователи безопасности из России и стран ЕАЭС."



Собственно ссылка на программу.



Что в скоупе:



"Уязвимости можно искать на всех наших ресурсах, а именно — *.tinkoff.ru, *.tcsbank.ru, *.tinkoffinsurance.ru." Но максимальные выплаты только для уязвимостей определенных сервисов.

Максимальная выплата за Critical 150 000 ₽.



За что платят:



"Ниже приведены примеры уязвимостей, за которые мы с радостью выплатим вознаграждение (список далеко не полный):



Удаленное исполнение кода (RCE);

Инъекции (например, SQL-инъекции или XML-инъекции);

LFR/LFI/RFI;

SSRF;

Утечки памяти;

Уязвимости бизнес-логики;

IDOR;

Уязвимости контроля доступа;

Раскрытие чувствительной информации;

Угон аккаунта;

Недостатки аутентификации/авторизации;

XSS и CSRF с воздействием на чувствительные данные."



Также в описании программы подробный перечень за что НЕ платят и что вообще присылать не нужно. Описание само по себе очень подробное и классное, любо-дорого посмотреть.



@avleonovrus #Tinkoff #BugBounty #BIZONE