1. Om Bug Bounty-programmet

Bug Bounty-programmet syftar till att stärka säkerheten i Vivid Moneys appar och tjänster. Bug Bounty-programmet riktar sig till externa forskare som godkänner programmets villkor. Alla förfrågningar från externa forskare behandlas individuellt. Belöningar inom Bug Bounty-programmet kan endast ges enligt de villkor som beskrivs i detta program. Vivid Money förbehåller sig rätten att inte besvara forskningsförfrågningar, att neka rätt till ersättning, att begära ytterligare information samt att ändra programmets regler och villkor.

2. Sekretesspolicy

All interaktion inom ramen för Bug Bounty-programmet är möjlig först efter att ett NDA (sekretessavtal) har undertecknats mellan Vivid Money och forskaren. Utan skriftligt medgivande från Vivid Money får forskare inte offentliggöra upptäckta sårbarheter eller information om upptäckta sårbarheter, och inte heller dela någon information om arbetet med att söka efter sårbarheter i Vivid Moneys appar och tjänster. Vivid Money förbehåller sig rätten att avslå begäranden om offentliggörande av sårbarheter som har hittats i Vivid Moneys appar och tjänster.

3. Omfattning för forskare

Vivid Money är ett ekosystem av olika appar och tjänster som är tillgängliga via ett enhetligt gränssnitt i mobilappen och via webbresurser. Sökandet efter sårbarheter omfattar:

*.vivid.money
Mobilapp för iOS: https://apps.apple.com/de/app/id1504417378
Mobilapp för Android: https://play.google.com/store/apps/details?id=vivid.money

Förfrågningar som faller utanför denna omfattning behandlas inte.

4. Begränsningar

Bug Bounty-programmet omfattar endast tekniska och logiska sårbarheter som kan finnas i Vivid Moneys appar och tjänster. Bug Bounty-programmet omfattar inte sårbarheter som hör till någon av följande kategorier:

Spam.
Sårbarheter som kräver social manipulation/nätfiske.
Rapporter om nätfiske och andra tekniker för social manipulation.
DDOS-attacker.
Hypotetiska problem utan praktisk påverkan.
Säkerhetsbrister i tredjepartsappar/-bibliotek och på tredjepartswebbplatser som är integrerade med Vivid Money.
Utdata från skannrar eller rapporter genererade av skannrar.
Problem som har hittats genom automatiserad testning.
Offentliggjorda buggar i internetprogramvara inom 30 dagar från att de offentliggjordes.
Man-in-the-Middle-attacker.
Injicering i Host-huvudet utan en specifik, påvisbar påverkan.
Self-XSS utan möjlighet att angripa andra användare.
CSRF vid in-/utloggning.
CSRF och XSS utan påverkan på känsliga uppgifter.
Kringgående av kontroll för root och jailbreak.
Rapporter om möjligheten till omvänd utveckling av mobilappen.
Information om IP-adresser, DNS-poster och öppna portar.
Röjande av offentlig information om användare.
Clickjacking.
Rapporter om nackdelar med att använda sms-koder.
Möjligheten att skicka obegränsat antal sms och e-postmeddelanden.
Rapporter om felaktigt implementerad avrundning vid omräkning av överföringar mellan transaktions-, spar- och depåkonton.
Avsaknad av rekommenderade säkerhetsmekanismer utan ytterligare attackvektor (till exempel HTTP-säkerhetshuvuden, säkerhetsflaggor för cookies eller CSRF-skydd).
Osäkert konfigurerad TLS eller SSL utan attackvektor.
Open Redirect utan ytterligare attackvektor (till exempel stöld av autentiseringstoken).
Innehållsersättning på sidan.
Sårbarheter som kräver komplexa eller osannolika scenarier för användarinteraktion.
Tabnabbing.
Full Path Disclosure.
Sårbarheter som förutsätter att det finns skadlig programvara, root-behörighet eller jailbreak på enheten.
Användning av föråldrad eller potentiellt sårbar programvara utan ytterligare attackvektor.
Röjande av teknisk eller icke-känslig information (till exempel produktversioner eller använd programvara).
Problem som rör Cache-Control.
Avsaknad av säkerhetsflaggor i cookies.
UX/UI-buggar och stavfel.
Broken Link Hijacking.
Problem med mobilappen:

5. Regler och villkor

5.1 Allmänna regler

Vid sökning efter sårbarheter i Vivid Moneys appar och tjänster ska följande regler följas:

Använd endast egna konton för testning.
Du får använda andra användares inloggningsuppgifter för testning, förutsatt att de uttryckligen har gått med på att lämna ut dem.
Vivid Money tillhandahåller inga ytterligare behörigheter eller konton (inklusive testkonton) för testning.
Alla försök att komma åt andra användares inloggningsuppgifter i Vivid Moneys appar och tjänster är förbjudna.
Vid sökning efter sårbarheter är det förbjudet att påverka integriteten, tillgängligheten och konfidentialiteten i Vivid Moneys appar och tjänster.
All aktivitet som kan skada företagets appar, infrastruktur, kunder och partner är förbjuden. Obs: exempel på förbjudna aktiviteter: social manipulation, nätfiske, överbelastningsattacker, kompromettering
För att bekräfta att en sårbarhet finns ska en minimal men tillräcklig uppsättning kontroller användas. Kontrollerna får inte påverka andra användare eller prestandan i Vivid Moneys appar och tjänster Obs: om detta villkor inte uppfylls är undersökning av sårbarheter strängt förbjuden.

5.2 Prioriteringsordning för förfrågningar

Förfrågningar som rör följande sårbarheter kan behandlas med förtur:

Fjärrkörning av kod (RCE).
Injiceringar (till exempel SQL-injicering).
XXE.
LFR/LFI/RFI.
SSRF.
Minnesläckor.
Sårbarheter i affärslogik.
IDOR.
Sårbarheter i åtkomstkontroll.
Röjande av känslig information.
Kontokapning.
Avsaknad av autentisering/auktorisering.
XSS och CSRF med påverkan på känsliga uppgifter.

5.3 Regler för RCE-testning

Vid RCE-testning är alla åtgärder på servern förbjudna, utom:

Körning av kommandona ifconfig (ipconfig), hostname, whoami.
Skapande av en tom fil i den aktuella användarens katalog.

Alla andra åtgärder ska stämmas av med Vivid Moneys säkerhetsteam.

5.4 Regler för testning av SQL-injicering

Vid testning av SQL-injicering är alla åtgärder på servern förbjudna, utom:

Hämta information om den aktuella databasen, dess version, den aktuella användaren eller värdnamnet.
Hämta databasschemat, listan över tabeller i den och kolumnnamnen i tabellerna.
Köra matematiska, konverterande eller logiska frågor (även med SLEEP) utan att hämta data (utöver det som anges ovan).

Alla andra åtgärder ska stämmas av med Vivid Moneys säkerhetsteam.

5.5 Regler för uppladdning och läsning av filer

Vid testning av uppladdning och läsning av filer är följande åtgärder förbjudna:

Läsa, ändra, modifiera, radera och ersätta filer på servern (inklusive systemfiler).
Ladda upp filer som kan orsaka överbelastning (till exempel stora filer).
Ladda upp skadliga filer (till exempel skadeprogram eller spionprogram).

6. Bedömning av sårbarhetens allvarlighetsgrad

Allvarlighetsgraden för upptäckta sårbarheter fastställs av Vivid Moneys säkerhetsteam. När säkerhetsteamet har fått rapporten från forskarna gör det egna kontroller och fastställer sårbarhetens allvarlighetsgrad. Vid bedömningen av allvarlighetsgraden beaktas även följande faktorer:

Vilken behörighetsnivå som krävs för att genomföra attacken.
Svårighet att upptäcka och utnyttja sårbarheten.
Om interaktion med användaren krävs.
Påverkan på integriteten, tillgängligheten och konfidentialiteten hos berörda data.
Påverkan på affärsrisker och anseenderisker.
Antal berörda användare.

7. Krav på rapporter

En rapport ska beskriva en sårbarhet. Undantag är fall där sårbarheter hänger ihop eller kan kombineras i en kedja. Rapporten om sårbarheten ska innehålla följande information:

Beskrivning av sårbarheten (poäng, påverkan, allvarlighetsgrad osv.).
Attackvektor.
Steg för att återskapa.
Analys av allvarlighetsgraden.
Rekommendationer för åtgärd.
Typ av sårbarhet.
Skärmbilder eller video som bekräftar sårbarheten och visar stegen för att återskapa den.
Ett exempel på en formaterad förfrågan.

Om kraven på rapporten inte uppfylls kan ersättningen sänkas. Om rapporten inte innehåller tillräckligt med data för att kontrollera sårbarheten betalas ingen ersättning ut.

8. Handläggningstid för rapporter

Varje rapport granskas individuellt av Vivid Moneys säkerhetsteam. Hur lång tid granskningen tar beror på sårbarhetens allvarlighetsgrad och teamets arbetsbelastning. I genomsnitt granskas varje rapport inom TVÅ VECKOR.

9. Belöningar

Belöning betalas endast ut för upptäckt av tidigare okända sårbarheter. Utbetalning sker under förutsättning att alla villkor, regler och begränsningar i detta program följs. Vid överträdelse görs ingen utbetalning.

10. Utbetalning av belöning

Belöningen betalas endast ut för den första mottagna rapporten om en upptäckt sårbarhet. Utbetalning sker under förutsättning att rapporten innehåller all information som behövs för att bekräfta sårbarheten. Alla senare rapporter som gäller samma sårbarhet eller innehåller liknande attackvektorer markeras som dubbletter. Belöningens storlek är slutgiltig och inte förhandlingsbar. Utbetalning sker under förutsättning att forskaren skickar all information som efterfrågas i fakturan. En faktura skickas separat för ifyllnad.

11. Kontakt

Information om upptäckta sårbarheter skickas till bugbounty@vivid.money. E-postmeddelandets ämnesrad ska börja med frasen [BugBountyReport]. Exempel: [BugBountyReport]: SQL injection.