Programa de Divulgación de Vulnerabilidades
LiveAgent se esfuerza por mantener su servicio seguro para todos, y la seguridad de los datos es de suma importancia. Nuestro Programa de Divulgación de Vulnerabilidades tiene como objetivo minimizar el impacto que cualquier fallo de seguridad pueda tener en nuestras herramientas o en sus usuarios. El Programa de Divulgación de Vulnerabilidades de LiveAgent cubre software escrito parcial o principalmente por Quality Unit.
Si eres un investigador de seguridad y has descubierto una vulnerabilidad de seguridad en el Servicio, agradecemos tu ayuda al divulgárnosla de forma privada y darnos la oportunidad de repararla antes de publicar los detalles técnicos.
LiveAgent se compromete con los investigadores de seguridad cuando se nos reportan vulnerabilidades como se describe aquí. Validaremos, responderemos y repararemos vulnerabilidades en apoyo de nuestro compromiso con la seguridad y la privacidad. No tomaremos acciones legales contra, suspenderemos o terminaremos el acceso al Servicio de quienes descubran y reporten vulnerabilidades de seguridad de manera responsable. LiveAgent se reserva todos sus derechos legales en caso de incumplimiento.
Reportes
Comparte los detalles de cualquier vulnerabilidad sospechosa con el Equipo de Desarrollo de LiveAgent en support@liveagent.com . Por favor, no divulgues públicamente estos detalles fuera de este proceso sin permiso explícito.
Al reportar cualquier vulnerabilidad sospechosa, incluye la mayor cantidad de información posible. Si deseas enviar múltiples reportes a la vez, por favor envía solo un reporte (el más importante si es posible) y espera una respuesta.
Compensación
Nos complace ofrecer una recompensa por información de vulnerabilidades que nos ayude a proteger a nuestros clientes, como agradecimiento a los investigadores de seguridad que eligen participar en nuestro programa de recompensas por vulnerabilidades. La recompensa regular es de $100 por vulnerabilidad enviada y verificada por nuestro equipo de desarrollo.
Solo recompensaremos al primer reportero de una vulnerabilidad. Los reportes duplicados no serán recompensados.
Alcance
Solo puedes probar contra una Cuenta de LiveAgent de la cual seas el Propietario de la Cuenta o un Agente autorizado por el Propietario de la Cuenta para realizar tales pruebas. Por ejemplo:
- tudominio.ladesk.com
Tipos de Vulnerabilidades Recompensadas
Te recompensaremos por los siguientes tipos de vulnerabilidades:
- Ejecución Remota de Comandos (RCE)
- Inyección SQL
- Autenticación Rota
- Gestión de Sesión Rota
- Omisión de Control de Acceso
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Redirección de URL Abierta
- Traversal de Directorios
Nota: Los reportes de cuando un atacante solo puede amenazar su propia cuenta con rol de Administrador no serán recompensados con una bonificación. XSS causado por un Administrador no será recompensado con una bonificación.
Para calificar, la vulnerabilidad debe existir en la última versión pública lanzada (incluyendo betas públicas oficialmente lanzadas) del software. Solo las vulnerabilidades de seguridad calificarán. Nos encantaría que las personas reportaran otros errores a través de los canales apropiados, pero dado que el propósito de este programa es corregir vulnerabilidades de seguridad, solo los errores que conduzcan a vulnerabilidades de seguridad serán elegibles para recompensas. Otros errores serán aceptados a nuestra discreción.
Directrices
Por favor, adhiérete a las siguientes directrices para ser elegible para recompensas bajo este programa de divulgación:
- No modifiques ni elimines permanentemente datos alojados en LiveAgent.
- No accedas intencionalmente a datos no públicos de LiveAgent más de lo necesario para demostrar la vulnerabilidad.
- No realices ataques DDoS ni interrumpas, interfieran o degraden nuestros servicios internos o externos.
- No compartas información confidencial obtenida de LiveAgent, incluyendo pero no limitado a información de pago de miembros o donantes, con terceros.
- La ingeniería social está fuera del alcance. No envíes correos de phishing a, ni utilices otras técnicas de ingeniería social contra nadie, incluyendo personal de QualityUnit, miembros, proveedores o socios.
Además, por favor permítenos al menos 90 días para reparar la vulnerabilidad antes de discutirla públicamente o escribir sobre ella. Nuestro equipo cree que los investigadores de seguridad tienen derecho a reportar su investigación y que la divulgación es altamente beneficiosa, y entiende que es una cuestión altamente subjetiva cuándo y cómo retener detalles para mitigar el riesgo de que la información de vulnerabilidad sea mal utilizada. Si crees que la divulgación anterior es necesaria, por favor háznos saber para que podamos comenzar una conversación.
Registro de Cambios
Informamos públicamente sobre todos los problemas de seguridad corregidos a través de nuestro registro de cambios . Los problemas relacionados con la seguridad están marcados con la etiqueta [Security].
