Программа поиска уязвимостей в системах компании Wildberries
Компания Wildberries предлагает лицам, нашедшим уязвимости в системах компании, возможность получить вознаграждение в рамках заключения с ними договора. К системам компании относятся:
Общие положения
-
Договор может быть заключен с лицами старше 18 лет, гражданами РФ, не являющимися сотрудниками Wildberries или компаний, оказывающих ИТ-услуги Wildberries.
-
Договор может быть заключен в течение 30 дней после отправки информации об уязвимости с лицом, нашедшим новую уязвимость, о которой Wildberries не было известно ранее или не сообщалось иными лицами.
-
В течение 60 дней с момента отправки сведений об уязвимости, участник не в праве распространять информацию публично или любым третьим лицам.
-
В рамках данной программы не допускается подбор паролей к учетным записям, проведение различных DoS\DDoS атак и иных деструктивных действий, направленных на инфраструктуру компании.
Адрес для отправки информации об уязвимости
Информация о найденных уязвимостях должна быть направлена на почтовый ящик bug@wildberries.ru c указанием электронного почтового адреса, по которому можно будет связаться с лицом, нашедшим уязвимость, для согласования дальнейших действий. Приветствуется максимально подробное описание уязвимости с указанием способа повторения/эксплуатации.
Актуальные уязвимости
Уязвимости — технические недостатки, с помощью которых можно нарушить целостность или конфиденциальность пользовательской информации, а также изменить права доступа к ней. В качестве классификации уязвимостей для веб-сервисов используется OWASP Top-10 версии 2010 года, для мобильных приложений — OWASP Mobile Top-10.
Вознаграждения
Далее приведен приблизительный диапазон вознаграждений. Компания оставляет право за собой увеличивать или уменьшать вознаграждение в каждом отдельном случае.
-
50 000 - 150 000 ₽
Критичные — sql-инъекции, позволяющие модифицировать данные, уязвимости в протоколах аутентификации/авторизации, позволяющие получать доступ к персональным данным и т.д.
-
15 000 - 50 000 ₽
Важные — не позволяют модифицировать важные данные, но в целом можно эксплуатировать.
-
1 000 - 15 000 ₽
Минорные — тяжело эксплуатировать.