Итоговая сумма зависит от вероятности эксплуатации и критичности последствий.
Категории и вознаграждение
Доступность сервиса
Уязвимости, из‑за которых продукты Mailganer зависают или сервис становится недоступен — при действиях пользователя
Данные пользователей
Доступ к данным аккаунта и базе другого клиента через действия от своего аккаунта — без прав администратора
Права администратора
Получение прав администратора аккаунта стронним пользователем, возможность управлять аккаунтом
Социальная инженерия
10 000 ₽
Уязвимость без данных
Подтверждённая и воспроизводимая уязвимость безопасности без доказательства доступа к чужим данных / сессии / ключей
15 000 ₽
30 000 ₽
60 000 ₽
90 000 ₽
Способы убедить авторизованного пользователя выполнить действия, которые приведут к утечке данных или иным угрозам
Как отправить отчёт
Опишите уязвимость
Шаги воспроизведения, затронутый сервис, скриншоты или видео. Без агрессивного сканирования и действий, которые мешают другим клиентам
Отправьте на почту
Заполните форму на этой странице или отправьте письмо на support@mailganer.com с темой «Bug Bounty». Контакты для связи и PGP-ключ — по запросу
Дождитесь оценки
Разберём отчёт, уточним детали при необходимости и сообщим решение по вознаграждению. Дубликаты и уже известные нам проблемы не входят в программу выплат
1
2
3
FAQ
Отчёты без воспроизводимого сценария, теоретические уязвимости, спам и фишинг сотрудников Mailganer, DDoS и нагрузочное тестирование без согласования. Сообщения о проблемах на стороне клиента (домен, DNS, контент рассылки) — вне программы.
Да, на своём аккаунте или с явного согласия владельца аккаунта. Не обращайтесь к чужим данным сверх минимума, нужного для доказательства.
Доказываем компрометацию описанием пути или тестом на своих аккаунтах. Реальная эксплуатация на чужих данных не требуется и не поощряется.
Программа не просит и не поощряет «добить» уязвимость реальной эксплуатацией на проде (красть чужие данные, трогать чужие аккаунты сверх минимума для доказательства).
Компрометация — это доказанный доступ к чужим данным или объектам (или ясный путь до них), а не обязательно полный «боевой» сценарий.
Достаточно, например:
показать чтение/изменение чужого объекта на своих тестовых аккаунтах.
описать путь без реальной кражи: «вот здесь в UI/ответе оказывается API-ключ / токен; его достаточно подставить в такой-то запрос — и есть доступ к данным» — это уже доказательство компрометации.
Программа не просит и не поощряет «добить» уязвимость реальной эксплуатацией на проде (красть чужие данные, трогать чужие аккаунты сверх минимума для доказательства).
Компрометация — это доказанный доступ к чужим данным или объектам (или ясный путь до них), а не обязательно полный «боевой» сценарий.
Достаточно, например:
показать чтение/изменение чужого объекта на своих тестовых аккаунтах.
описать путь без реальной кражи: «вот здесь в UI/ответе оказывается API-ключ / токен; его достаточно подставить в такой-то запрос — и есть доступ к данным» — это уже доказательство компрометации.
Нужны реквизиты юрлица, ИП или самозанятого. После подтверждения уязвимости согласуем сумму и закрывающие документы.