Dziękujemy za poświęcenie czasu na udział w naszym programie odpowiedzialnego ujawniania informacji. 

W serwisie Catawiki uważamy bezpieczeństwo naszych systemów za najwyższy priorytet. Przy opracowywaniu i świadczeniu naszych usług kluczową rolę odgrywa bezpieczeństwo.

Poniżej możesz zapoznać się z naszymi wytycznymi dotyczącymi przesyłania raportów o błędach do Catawiki, co umożliwia nam skuteczne ich naprawianie.

Zasoby, nad którymi mamy kontrolę, obejmują https://www.catawiki.com lub strony pochodzące z logowania do serwisuhttps://www.catawiki.com. NIE obejmują aplikacji innych stron, z którymi współpracujemy, gdyż nie kontrolujemy ich bezpośrednio. Na przykład dowolnych witryn takich jak blogi, strony poświęcone karierze lub marketingowi, które nie są hostowane w domenie Catawiki lub GCP, lub jakiekolwiek luki w zabezpieczeniach chmury.

Co chcielibyśmy, abyś zrobił

• Wyślij informacje o lukach w zabezpieczeniach z wynikami CVE, jeśli takowe istnieją, które dotyczą naszej witryny internetowej i w jaki sposób można je wykorzystać.
• Wyślij filmy i zdjęcia zawarte w raporcie; są one bardzo pożądane!
• Wyślij przykłady, w których złośliwe pliki mogą zostać przesłane w naszym serwisie.
• Wyślij raporty o podatnych na ataki portach sieciowych lub usługach.
• Wyślij informacje o lukach w zabezpieczeniach, w przypadku których sprawdzanie poprawności, CSRF lub inne, kończy się niepowodzeniem, umożliwiając ominięcie lub obejście kontroli bezpieczeństwa.

Czego nie należy robić

• Nie wysyłaj informacji zgłoszonych przez narzędzia lub skanery stron trzecich bez potwierdzenia koncepcji, co może spowodować ich wykorzystanie.
• Nie wysyłaj informacji o hasłach wykorzystywanych przy użyciu brutalnej siły, ataków słownikowych lub innych sposobów zgadywania haseł.
• Nie próbuj ataków DDoS ani innych ataków wyczerpujących zasoby.
• Nie próbuj atakować spamem, chyba że luka w zabezpieczeniach obejmuje łatwe wysyłanie spamu.
• Nie przesyłaj informacji o lukach w zabezpieczeniach związanych z weryfikacją konta lub polityką haseł.
• Nie wysyłaj informacji o lukach w zabezpieczeniach związanych z atakiem Self-XSS.
• Nie wysyłaj informacji związanych z brakującym rekordem autoryzacji urzędu certyfikacji (CAA) dla nazwy domeny Catawiki.

W przypadku, gdy użytkownik nie przestrzega powyższego kodeksu postępowania, Catawiki zastrzega sobie prawo do podjęcia kroków prawnych przeciwko użytkownikowi. Niniejszy kodeks dotyczący powiadamiania o lukach w zabezpieczeniach w serwisie Catawiki podlega prawu holenderskiemu.

Ponadto prosimy o niekorzystanie z platformy BugCrowd w przypadku jakichkolwiek pytań lub skarg związanych z usługami Catawiki lub materiałami użytkowników na platformie. Jeśli masz jakiekolwiek pytania lub skargi niezwiązane z lukami w zabezpieczeniach naszych systemów, prosimy o dalsze zapoznanie się z naszym Centrum pomocy i, jeśli to konieczne, skontaktowanie się z naszymi zespołami obsługi klienta.

Aby wziąć udział w naszym Programie odpowiedzialnego ujawniania informacji, zaloguj się lub zarejestruj konto hakera na BugCrowd.

Ochrona danych

Program odpowiedzialnego ujawniania informacji podlega polityce prywatności Catawiki. Należy jednak pamiętać, że w przypadku dokonywanych przez naszych użytkowników zgłoszeń przetwarzane są tylko ograniczone dane osobowe. Catawiki korzysta z BugCrowd do obsługi zgłaszania luk w zabezpieczeniach, co można zrobić za pomocą danych uwierzytelniających BugCrowd. Jeśli masz konto, firma Catawiki będzie mogła zobaczyć Twoją nazwę użytkownika, ale nie będzie miała żadnych innych danych osobowych powiązanych z Twoim kontem. Wszystkie dane zawarte w raporcie o lukach w zabezpieczeniach będą przetwarzane w naszym wewnętrznym systemie zgłoszeń i dostępne dla naszego zespołu ds. bezpieczeństwa i odpowiedniego personelu technicznego.