برنامج مكافآت الثغرات

تحتفظ Paysera بالحق في تحديد ما إذا كان الحد الأدنى لخطورة التأهيل قد تم استيفاؤه وما إذا كان قد تم الإبلاغ عن الثغرة مسبقاً.

• تجاوز المصادقة (Authentication bypass) أو تصعيد الامتيازات (privilege escalation).

• « Clickjacking » (عندما يتم خداع المستخدم للنقر على عناصر مخفية أو مموهة في صفحة ويب).

• « Cross-site scripting (XSS) » (ثغرة تسمح بحقن كود إضافي في صفحة ويب يراها المستخدمون)

• تزوير الطلبات عبر المواقع (CSRF/XSRF)

• نصوص برمجية ذات محتوى مختلط (Mixed-content scripts)

• تنفيذ الكود من جانب الخادم (Server-side code execution)

• اختراق بيانات المستخدم

• تنفيذ الكود عن بعد (Remote code execution)

يُقدَّر الإبلاغ عن الثغرات التالية ولكنه لن يؤدي إلى مكافأة منهجية من Paysera:

• ثغرة إنكار الخدمة (DoS) أو المشكلات المتعلقة بتحديد المعدل (rate-limiting).

• إمكانيات إرسال روابط ضارة إلى أشخاص تعرفهم.

• أخطاء الأمان في مواقع الويب التابعة لجهات خارجية التي تدمج مع واجهة برمجة تطبيقات (API) الخاصة بـ Paysera.

• الثغرات المتعلقة ببرامج (مثل Java، المكونات الإضافية/plugins، الإضافات/extensions) أو مواقع الويب التابعة لجهات خارجية ما لم تؤدِ إلى ثغرة في موقع Paysera.

• الرسائل المزعجة (Spam) (بما في ذلك المشكلات المتعلقة بـ SPF/DKIM/DMARC).

• مشكلات قابلية الاستخدام، أو الإكمال التلقائي للنماذج (forms autocomplete).

• الإعدادات غير الآمنة في ملفات تعريف الارتباط (cookies) غير الحساسة.

• ثغرات ذاكرة التخزين المؤقت للمتصفح (Browser cache vulnerabilities).

• الثغرات (بما في ذلك XSS) التي تتطلب من الضحية المحتمل تثبيت برنامج غير قياسي أو اتخاذ خطوات نشطة غير محتملة للغاية لجعل نفسه عرضة للإصابة.

• الهجمات غير التقنية مثل الهندسة الاجتماعية، أو التصيد الاحتيالي (phishing)، أو الهجمات المادية ضد موظفينا، أو مستخدمينا، أو بنيتنا التحتية.

• الثغرات (بما في ذلك XSS) التي تؤثر فقط على المتصفحات/المكونات الإضافية القديمة (legacy browser/plugins).

• « Self-XSS » (عندما يقوم المستخدم عن طريق الخطأ بتثبيت كود ضار على موقعه الخاص).

• تزوير الطلبات عبر المواقع (CSRF) للإجراءات غير الهامة (تسجيل الخروج، وما إلى ذلك).

• هجمات « Clickjacking » دون سلسلة موثقة من النقرات التي تؤدي إلى ثغرة.

• حقن المحتوى (Content injection)، مثل النص المنعكس أو علامات HTML.

• نقص رؤوس HTTP (HTTP headers) المفقودة، إلا في الحالات التي يفشل فيها غيابها في التخفيف من هجوم موجود.

• تجاوزات المصادقة (Authentication bypasses) التي تتطلب الوصول إلى البرامج/الأجهزة.

• الثغرات التي تتطلب الوصول إلى كلمات المرور، أو الرموز المميزة (tokens)، أو النظام المحلي (مثل تثبيت الجلسة/session fixation).

• الثغرات المفترضة بناءً على أرقام الإصدارات فقط.

• الأخطاء التي تتطلب تفاعلاً غير محتمل للغاية من المستخدم.

• الكشف عن معلومات عامة ومعلومات لا تشكل خطراً كبيراً.

• البرمجة النصية (Scripting) أو الأتمتة الأخرى والفرض القسري (brute forcing) للوظائف المقصودة.

• الطلبات التي تنتهك سياسة نفس المصدر (same-origin policy) دون سيناريو هجوم ملموس (على سبيل المثال، عند استخدام CORS، وعدم استخدام ملفات تعريف الارتباط في إجراء المصادقة أو عدم إرسالها مع الطلبات).