برنامه کشف باگ زرین‌پال

حریم خصوصی کاربران و مشتریان حفظ شود. آسیب‌پذیری‌ها بر اساس CVSS v3.1 محاسبه می‌شود. هر آسیب‌پذیری در قالب یک گزارش مجزا ارسال شود. در هنگام بررسی، هیچ کدام از سرویس‌های زرین‌پال توسط متقاضی از دسترس خارج نشود. پاداش نقدی تنها به اولین متقاضی که دارای گزارش صحیحی باشد تعلق می‌گیرد. متقاضیان نباید اشخاص دیگری را در جریان گزارش ارسالی قرار دهند. هیچ تلاشی برای مشاهده، ویرایش و یا آسیب‌رساندن به اطلاعات مشتریان از سمت متقاضی صورت نگیرد. اگر احتمال می‌دهید در روند انجام تست به بخش‌هایی از سیستم ما آسیب وارد می‌شود لطفا ما را در جریان بگذارید. آسیب‌پذیری‌هایی که با ابزارها و اسکنر‌ها یافت شده‌اند، تنها با ارائه نمونه اثبات شده مورد پذیرش قرار می‌گیرد. وضعیت پیام‌هایی که از طریق سیستم پشتیبانی زرین‌پال ارسال شده است، بعد از گذشت زمان کوتاهی به «بسته» تغییر یابد.

استفاده از تمام روش‌های مرتبط با مهندسی اجتماعی غیر مجاز است. خطاهایی که هیچ اطلاعات حساسی روی آن‌ها وجود ندارد. آسیب‌پذیری Host header injection (بدون احتمال خطر) وجود CSRF روی فرم‌هایی که نیاز به احراز هویت ندارند و همین‌طور فرم‌های ورود و خروج آسیب‌پذیری open redirect مگر در مواردی که منجر به بروز رخدادی همچون افشای توکن و ... شود. مواردی که نفوذگر در آن نیاز به استفاده از شیوه‌هایی چون MITM یا دسترسی فیزیکی خواهد داشت. مواردی که SSL/TLS به شیوه‌ای مطلوب تنظیم نشده‌اند. مواردی از قبیل Clickjacking و Tabnabbing یافته‌های مرتبط با text injection یا جعل متن آسیب‌پذیری در کتابخانه‌های مورد استفاده (برای مثال: jquery) بدون یک شرح قابل اثبات افشای نام برنامه‌های مورد استفاده/وب‌سرور یا نسخه آن موارد مرتبط با Email/User enumeration یافته‌ای که مربوط به API‌های Google map باشد. پنل‌های مدیریتی که عموما قابل دسترسی هستند. آسیب‌پذیرهایی که روی سرویس‌های third party هستند. موارد مرتبط با آسیب‌پذیری Self XSS فایل‌های xmlrpc.php در دسترس CVE‌های 0day که یک ماه از زمان انتشار آن‌ها گذشته است. Brute force حملات نشست یا لاگین‌های همزمان GIT/Directory Listing Enabled (Non-Sensitive Data Exposure) حملات DoS/DDoS Cookie flag issues Low impact rate limit افشای مسیر فایل TLS/SSL related issues آنچه با DNS مرتبط است