Encuentra un error,
gana una recompensa.
Ayúdanos a mantener Play Digital Signage seguro. Recompensamos a los investigadores de seguridad que informan de las vulnerabilidades de forma responsable.
Recompensas según
la gravedad.
Cuanto mayor es el daño que un error podría causar, mayor es la recompensa.
Hasta 1000 $
CríticoPor ejemplo, conseguir acceso a un servidor crítico de nuestra infraestructura.
Unos 500 $
MedioErrores de gravedad media.
Unos 150 $
BajoErrores de gravedad baja.
Cómo
funciona.
Nuestro objetivo es ser objetivos, recompensar el trabajo duro y mantener motivadas a las personas que nos ayudan a proteger nuestro servicio.
Informa del error
Describe cómo podría usarse el error en un ataque real y cómo lo solucionarías.
Enviar un informeLo corregimos y evaluamos la gravedad
Primero corregimos el error y después valoramos su gravedad.
Recibes una oferta de recompensa
Te respondemos con una propuesta de recompensa. ¿Crees que hemos valorado mal la gravedad? Cuéntanoslo, con más ejemplos de cómo puede usarse el error.
Lo que
no recompensamos.
Son problemas conocidos o que quedan fuera del alcance. Algunos no podemos corregirlos sin romper la compatibilidad.
DDoS, fuerza bruta y phishing
Los ataques de denegación de servicio y de fuerza bruta quedan fuera del alcance, igual que la ingeniería social contra nuestros usuarios (phishing, vishing, smishing).
Scripts en la vista previa web
Pueden ejecutarse scripts en el iframe de la vista previa web para poder incrustar widgets externos. Funciona en un dominio aparte para evitar el robo de cookies. Solo recompensamos un ataque que funcione, con una demostración y una solución, no, por ejemplo, un falso aviso de contraseña.
Datos EXIF en los archivos subidos
Los datos EXIF no se eliminan de los archivos subidos. La mayoría de los archivos subidos son privados, así que no es una vulnerabilidad.
Redirecciones del proxy
Se puede engañar a proxy.playsignage.com para que redirija a otro dominio. Lo sabemos y no podemos corregirlo sin romper la compatibilidad.
Endpoint público de listas de reproducción
Cualquiera que conozca el ID de una lista de reproducción puede leerla a través de la API. Es intencionado, para poder compartir los enlaces de vista previa.
Objetos bloqueados
El bloqueo de objetos solo se comprueba en el editor, así que la API sigue aceptando cambios en elementos bloqueados. Solo los miembros de confianza del equipo tienen acceso a una lista de reproducción, por lo que el riesgo es insignificante.
¿Has encontrado una vulnerabilidad?
Lee nuestras normas de divulgación y envíanos tu informe.