Programma Bug Bounty

Programma di Divulgazione delle Vulnerabilità

LiveAgent mira a mantenere il suo servizio sicuro per tutti, e la sicurezza dei dati è di massima importanza. Il nostro Programma di Divulgazione delle Vulnerabilità è inteso a minimizzare l’impatto che eventuali falle di sicurezza hanno sui nostri strumenti o sui loro utenti. Il Programma di Divulgazione delle Vulnerabilità di LiveAgent copre il software scritto parzialmente o principalmente da Quality Unit.

Se sei un ricercatore di sicurezza e hai scoperto una vulnerabilità di sicurezza nel Servizio, apprezziamo il tuo aiuto nel divulgarla a noi privatamente e darci l’opportunità di ripararla prima di pubblicare i dettagli tecnici.

LiveAgent si impegnerà con i ricercatori di sicurezza quando le vulnerabilità ci vengono segnalate come descritto qui. Convalideremo, risponderemo e risolveremo le vulnerabilità a supporto del nostro impegno verso la sicurezza e la privacy. Non intraprenderemo azioni legali contro, sospenderemo o termineremo l’accesso al Servizio di coloro che scoprono e segnalano le vulnerabilità di sicurezza in modo responsabile. LiveAgent si riserva tutti i suoi diritti legali in caso di non conformità.

Segnalazione

Condividi i dettagli di eventuali vulnerabilità sospette con il Team di Sviluppo di LiveAgent all’indirizzo support@liveagent.com . Si prega di non divulgare pubblicamente questi dettagli al di fuori di questo processo senza esplicita autorizzazione.

Nel segnalare eventuali vulnerabilità sospette, includi il maggior numero di informazioni possibile. Se desideri inviare più segnalazioni contemporaneamente, invia solo una segnalazione (la più importante se possibile) e attendi una risposta.

Compenso

Siamo lieti di offrire un premio per le informazioni sulle vulnerabilità che ci aiutano a proteggere i nostri clienti, come ringraziamento ai ricercatori di sicurezza che scelgono di partecipare al nostro programma bug bounty. Il premio di bounty regolare è $100 per vulnerabilità segnalata e verificata dal nostro team di sviluppo.

Premieremo solo il primo segnalatore di una vulnerabilità. Le segnalazioni duplicate non saranno premiate.

Ambito

Puoi testare solo su un Account LiveAgent di cui sei il Proprietario dell’Account o un Agente autorizzato dal Proprietario dell’Account a condurre tali test. Ad esempio:

• tuodominio.ladesk.com

Tipi di Vulnerabilità Premiati

Ti premieremo per i seguenti tipi di vulnerabilità:

• Esecuzione di Comandi Remoti (RCE)
• SQL Injection
• Autenticazione Compromessa
• Gestione della Sessione Compromessa
• Bypass del Controllo di Accesso
• Cross-Site Scripting (XSS)
• Cross-Site Request Forgery (CSRF)
• Reindirizzamento URL Aperto
• Directory Traversal

Nota: Le segnalazioni di quando un attaccante può minacciare solo il suo account con ruolo Admin non saranno premiate con un bounty. XSS causato da un Admin non sarà premiato con un bounty.

Per qualificarsi, la vulnerabilità deve esistere nell’ultima versione pubblica (incluse le beta pubbliche ufficialmente rilasciate) del software. Solo le vulnerabilità di sicurezza si qualificheranno. Ci piacerebbe se le persone segnalassero altri bug attraverso i canali appropriati, ma poiché lo scopo di questo programma è correggere le vulnerabilità di sicurezza, solo i bug che portano a vulnerabilità di sicurezza saranno idonei per i premi. Gli altri bug saranno accettati a nostra discrezione.

Linee Guida

Si prega di attenersi alle seguenti linee guida per essere idonei ai premi secondo questo programma di divulgazione:

• Non modificare o eliminare permanentemente i dati ospitati da LiveAgent.
• Non accedere intenzionalmente ai dati non pubblici di LiveAgent più di quanto necessario per dimostrare la vulnerabilità.
• Non eseguire DDoS o altrimenti interrompere, disturbare o degradare i nostri servizi interni o esterni.
• Non condividere informazioni riservate ottenute da LiveAgent, incluse ma non limitate alle informazioni di pagamento dei membri o dei donatori, con terze parti.
• L’ingegneria sociale è fuori ambito. Non inviare email di phishing a, o utilizzare altre tecniche di ingegneria sociale contro, chiunque, incluso il personale di QualityUnit, i membri, i fornitori o i partner.

Inoltre, concedici almeno 90 giorni per correggere la vulnerabilità prima di discuterne pubblicamente o scriverne un blog. Il nostro team ritiene che i ricercatori di sicurezza abbiano il diritto di segnalare la loro ricerca e che la divulgazione sia altamente vantaggiosa, e comprende che è una questione altamente soggettiva quando e come trattenere i dettagli per mitigare il rischio che le informazioni sulla vulnerabilità vengano utilizzate in modo improprio. Se ritieni che una divulgazione anticipata sia necessaria, faccelo sapere in modo che possiamo iniziare una conversazione.

Registro dei Cambiamenti

Informiamo pubblicamente su tutti i problemi di sicurezza corretti attraverso il nostro registro dei cambiamenti . I problemi relativi alla sicurezza sono contrassegnati dal tag [Security].