โครงการเปิดเผยช่องโหว่

สิ่งที่อยู่ในขอบเขต

โปรดทดสอบเฉพาะรายการต่อไปนี้:

• เว็บไซต์ของเราที่ talismanleads.io และโดเมนย่อย รวมถึงหน้าลงชื่อเข้าใช้ บัญชี การเรียกเก็บเงิน และเครื่องมือฟรี
• บอท Telegram ของเรา @TalismanLeadsV1bot
• API ของเว็บไซต์เอง เมื่อคุณเข้าถึงจากบัญชีของคุณเอง

หากไม่แน่ใจว่าสิ่งใดเป็นของเรา โปรดสอบถามเราก่อนทดสอบ

สิ่งที่อยู่นอกขอบเขต

โปรดอย่าส่งรายงานเกี่ยวกับรายการต่อไปนี้:

• บริการที่ดำเนินการโดยบริษัทอื่น เช่น Telegram, Cloudflare, เครือข่ายการชำระเงิน และวิดเจ็ตแชทสด โปรดรายงานปัญหาเหล่านั้นต่อเจ้าของบริการ
• บัญชีและข้อมูลของลูกค้ารายอื่น
• สิ่งที่ตัวตรวจสอบและเครื่องมือฟรีของเราถูกสร้างมาให้ทำ เช่น การบอกว่าเบอร์โทรศัพท์หรือที่อยู่อีเมลมีบัญชีหรือไม่
• การทราบได้ว่าที่อยู่อีเมลหรือชื่อผู้ใช้ลงทะเบียนกับเราแล้วหรือไม่ บนหน้าสมัครสมาชิก ลงชื่อเข้าใช้ หรือรีเซ็ตรหัสผ่าน
• ระเบียนอีเมลที่ขาดหายไปหรืออ่อนแอ (SPF, DKIM, DMARC, BIMI) ระเบียน DNSSEC หรือ CAA และโดเมนที่มีชื่อคล้ายกัน
• เฮดเดอร์ความปลอดภัยที่ขาดหายไป (CSP, HSTS, X-Frame-Options และอื่น ๆ ในลักษณะเดียวกัน) แฟล็กของคุกกี้ และการตั้งค่า SSL/TLS เช่น การเลือกชุดการเข้ารหัส เว้นแต่คุณจะแสดงการโจมตีที่ใช้งานได้จริง
• ชื่อซอฟต์แวร์และหมายเลขเวอร์ชัน แบนเนอร์ของเซิร์ฟเวอร์ และไฟล์สาธารณะ เช่น robots.txt, แผนผังเว็บไซต์ หรือ security.txt
• คีย์ที่ตั้งใจให้เป็นสาธารณะ เช่น คีย์ CAPTCHA คีย์การวิเคราะห์ และคีย์ฝั่งเบราว์เซอร์ในซอร์สของหน้าเว็บ
• self-XSS, clickjacking หรือ CSRF บนหน้าที่ไม่มีการดำเนินการที่ละเอียดอ่อน, logout CSRF, open redirect ที่ไม่มีผลกระทบเพิ่มเติม, tabnabbing และการแทรกข้อความที่ไม่ได้รันสคริปต์
• การจำกัดอัตราคำขอบนหน้าและแบบฟอร์มสาธารณะ รวมถึงการส่งอีเมลหรือการสมัครสมาชิกจำนวนมาก (flooding) เว้นแต่จะทำให้ใครบางคนเข้ายึดบัญชีหรือใช้จ่ายเงินได้
• กฎของรหัสผ่าน ระยะเวลาของเซสชัน และการที่การยืนยันตัวตนแบบสองปัจจัยเป็นแบบไม่บังคับหรือไม่มีให้ใช้
• การโจมตีที่ต้องอาศัยการเข้าถึงทางกายภาพ อุปกรณ์ที่ root หรือ jailbreak แล้ว เบราว์เซอร์รุ่นเก่า หรือเหยื่อที่ถูกเจาะระบบอยู่แล้ว
• ฟิชชิง วิศวกรรมสังคม และการโจมตีแบบปฏิเสธการให้บริการ (denial-of-service)
• รหัสผ่านและข้อมูลอื่นจากการรั่วไหลของเว็บไซต์อื่น เว้นแต่จะใช้งานได้กับเว็บไซต์ของเรา
• ผลลัพธ์จากเครื่องมือสแกนอัตโนมัติหรือเครื่องมือ AI ที่ไม่มีหลักฐานว่าใช้งานได้จริง และคำแนะนำด้านแนวทางปฏิบัติที่ดีที่สุดที่ไม่มีผลกระทบด้านความปลอดภัย
• บั๊กที่ไม่มีผลกระทบด้านความปลอดภัย และคำถามเกี่ยวกับบัญชีหรือการเรียกเก็บเงินของคุณ โปรดใช้หน้าติดต่อสำหรับเรื่องเหล่านั้น

เราอาจปิดรายงานเกี่ยวกับรายการเหล่านี้โดยไม่ตอบกลับ

วิธีทดสอบอย่างปลอดภัย

• ใช้เฉพาะบัญชีที่คุณสร้างเอง และใช้เฉพาะเบอร์โทรศัพท์และที่อยู่อีเมลที่คุณเป็นเจ้าของหรือได้รับอนุญาตให้ใช้
• อย่าอ่าน เปลี่ยนแปลง หรือลบข้อมูลที่ไม่ใช่ของคุณ หากคุณเข้าถึงข้อมูลของผู้อื่น ให้หยุด อย่าเก็บสำเนาไว้ และแจ้งให้เราทราบ
• อย่าทดสอบการโจมตีแบบปฏิเสธการให้บริการ (denial-of-service) อย่าส่งข้อมูลจำนวนมากเข้าแบบฟอร์ม อย่าส่งสแปม และอย่าทำให้บริการช้าลงสำหรับผู้อื่น
• อย่าพยายามหลอกลวงพนักงานหรือลูกค้าของเรา และอย่าพยายามโจมตีทางกายภาพ
• หากปัญหาทำให้คุณได้รับยอดคงเหลือหรือบริการแบบชำระเงิน ให้ใช้ไม่เกินที่จำเป็นเพื่อแสดงปัญหา และแจ้งให้เราทราบเพื่อให้เรายกเลิกรายการนั้นได้
• เก็บปัญหาไว้เป็นความลับจนกว่าจะได้รับการแก้ไขและเราตกลงเรื่องการเปิดเผยกันแล้ว

สิ่งที่ควรระบุในรายงาน

• ปัญหาคืออะไร และผู้โจมตีสามารถใช้ปัญหานั้นทำอะไรได้
• หน้าเว็บ เส้นทาง API หรือคำสั่งบอทที่ได้รับผลกระทบ
• ขั้นตอนการทำให้เกิดปัญหาซ้ำ พร้อมภาพหน้าจอหรือ proof of concept
• ช่องทางติดต่อคุณ และชื่อที่คุณต้องการให้เราให้เครดิต (ถ้ามี)

โปรดอย่าใส่ข้อมูลส่วนบุคคลของผู้อื่นในรายงานของคุณ

สิ่งที่คุณคาดหวังจากเราได้

• เรายืนยันการรับรายงานที่อยู่ในขอบเขตภายใน 5 วันทำการ
• เราตรวจสอบปัญหาและแจ้งให้คุณทราบว่าเราทำให้เกิดปัญหาซ้ำได้หรือไม่ และขั้นตอนต่อไปคืออะไร
• เราแจ้งความคืบหน้าให้คุณทราบระหว่างดำเนินการ และแจ้งเมื่อแก้ไขเรียบร้อยแล้ว
• หากคุณต้องการ เราจะให้เครดิตคุณเมื่อเราเขียนเกี่ยวกับการแก้ไขนี้

ความคุ้มครองทางกฎหมาย (Safe Harbor)

หากคุณกระทำโดยสุจริตและปฏิบัติตามนโยบายนี้ เราถือว่าการวิจัยของคุณได้รับอนุญาต เราจะไม่ดำเนินการทางกฎหมายกับคุณหรือรายงานคุณต่อหน่วยงานที่มีอำนาจเพราะเหตุดังกล่าว หากบุคคลอื่นดำเนินการกับคุณเพราะเรื่องนี้ เราจะแจ้งให้ชัดเจนว่าคุณกระทำภายใต้นโยบายนี้

การคุ้มครองนี้ครอบคลุมเฉพาะระบบของ TalismanLeads เอง เราไม่สามารถอนุญาตให้ทดสอบระบบของผู้อื่นได้ หากคุณไม่แน่ใจว่าสิ่งใดได้รับอนุญาตหรือไม่ โปรดสอบถามเราก่อน

การเปิดเผยต่อสาธารณะ

โปรดให้เวลาเราอย่างสมเหตุสมผลในการแก้ไขปัญหาก่อนที่คุณจะเผยแพร่สิ่งใดเกี่ยวกับปัญหานั้น เราตั้งเป้าแก้ไขปัญหาที่ยืนยันแล้วภายใน 90 วัน และจะตกลงวันที่ร่วมกับคุณ ปัญหาบางอย่างใช้เวลานานกว่านั้น และเราจะแจ้งให้คุณทราบหากปัญหาของคุณเป็นเช่นนั้น

รางวัล

นี่คือโครงการเปิดเผยช่องโหว่ ไม่ใช่ Bug Bounty เราจึงไม่จ่ายเงินสำหรับรายงาน เราซาบซึ้งในความช่วยเหลือของคุณ และยินดีให้เครดิตคุณสำหรับความช่วยเหลือนี้ รายงานที่ขอเงินก่อนเปิดเผยรายละเอียดจะถูกปิดโดยไม่ตอบกลับ

เมื่อแก้ไขปัญหาแล้ว เราอาจระบุชื่อของคุณไว้ในหอเกียรติยศของเราพร้อมสิ่งที่คุณค้นพบ เราจะระบุชื่อของคุณเมื่อได้รับอนุญาตจากคุณเท่านั้น และคุณสามารถขอให้เราลบรายการของคุณได้ทุกเมื่อ