## Политика
- Пожалуйста, предоставляйте подробные отчеты с воспроизводимыми шагами.
- Отправляйте по одной уязвимости за отчет, если только вам не нужно связывать несколько уязвимостей в цепочку.
- В случае дублирования мы присуждаем награду только за первый полученный отчет (при условии, что его можно полностью воспроизвести).
- Объединяйте в один отчет уязвимости, у которых схожая основная причина (например, уязвимость библиотеки, которая используется на нескольких доменах из скоупа).
- Если исправление одной из присланных уязвимостей исправит уязвимость из нового отчета, вознаграждается только первоначальный отчет.
- Старайтесь максимально избегать нарушений конфиденциальности, уничтожения данных, прерывания или ухудшения качества наших услуг. Взаимодействуйте только с вашими учетными записями или с явного разрешения владельца другой учетной записи.
- Не запускайте сканирование, которое может снизить производительность или привести к отказу в обслуживании целевых приложений.
- Не открывайте и не вносите изменения в учетные записи клиентов.
- Не проводите атаки социальной инженерии, включая фишинг.
- Не используйте спам.
- Не выполняйте никаких физических атак.
- Запрещено любое боковое перемещение и постэксплуатация после получения первоначального доступа.
- Для уязвимостей нулевого дня мы принимаем отчеты после первых двух недель с первой публикации уязвимости.
- Уязвимости типа RCE, SQL, SSRF вне критичной инфраструктуры будут оцениваться ниже. Из критичной инфраструктуры должен быть доступен хост rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.



## Правила отчета
- Отчет должен быть полноценным и понятным для проверяющего, содержать все необходимые шаги/команды/зависимости для воспроизведения уязвимости. Шаги нужно расписывать подробно, с указанием того, что именно является уязвимым и как именно эксплуатировать эту уязвимость. Также необходимо приводить подтверждение – скриншоты запросов, результата или видео с полной реализацией атаки и четкими указаниями каждого шага.
- Помимо прочего, нужно описать потенциальные риски от эксплуатации уязвимости, а также будем признательны, если вы опишете ещё и рекомендации по устранению.
- Так как боковое перемещение запрещено, для некоторых уязвимостей достаточно следующих демонстраций:
- SQL Injection – получение версии базы данных;
- XXE / XML injection – демонстрация факта XXE, кроме DOS;
- XSS – вывод алерта или сообщения в лог;
- RCE – hostname, id, ifconfig;
- SSRF – curl на внутренний домен (rm.rambler-co.ru (10.99.2.223)), ожидаемый ответ от данного хоста – 302).



## Таблица выплат
Наши выплаты основываются на критичности уязвимости по CVSS 3.0, однако в компании мы используем внутреннюю политику по управлению уязвимостями, где градация критичности отличается от CVSS. Таблица с необходимыми диапазонами критичности:
| Уровень опасности | Ранжирование оплаты  |
|-------------------|----------------------|
| Critical(9.9-10)  | 500 000              |
| High(8.0-9.8)     | от 35 000 до 150 000 |
| Medium(4.0-7.9)   | от 5 000 до 35 000   |
| Low(0.1-3.9)      | до 5 000             |

## Памятка по ранжированию критичности
К критичным уязвимостям мы относим только те, которые приводят к получению доступа в корпоративную сеть, поэтому мы просим доказывать проникновение получением ответа от  https://rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.
Дополнительно к вышеописанному для атак на Rambler ID критической будет считаться та, которая приведёт к полной утечке пользователей и их данных.
В качестве атак с высоким уровнем опасности мы определяем:
		1. атаки, ведущие к компрометации пользователя и включающие в себя не более чем одно действие от пользователя для реализации; 
		2. атаки, ведущие к компрометации пользователя с высокими привилегиями, в частности – Stored XSS и Cache Poisoning;
		3. атаки на пользователя, приводящие к атакам на id.rambler.ru.
	Иные атаки определяются в прочие категории согласно своему уровню критичности по CVSS.


## Уязвимости
Основной упор мы хотим сделать на получении критичных уязвимостей:
- RCE;
- Injections;
- SSRF;
- LFI/RFI;
- XXE.


## Уязвимости вне программы
- Clickjacking;
- CSRF на логин/логаут;
- Man in the middle;
- любые методы социальной инженерии;
- Self-XSS;
- любая вредоносная активность, которая может привести к отказу в обслуживании (DoS);
- результаты работы автоматических сканеров без реального POC;
- инъекции http-заголовков без серьезного влияния на безопасность (в том числе CRLF);
- SPF/DKIM/DMARC-мисконфигурации;
- SSL/TLS best practice;
- атаки, требующие физического доступа к оборудованию компании;
- уязвимости в сторонних библиотеках, напрямую не ведущие к уязвимостям;
- отсутствие любых других best practice, напрямую не ведущих к уязвимости;
- уязвимости, применимые только к пользователям с устаревшими браузерами;
- устаревшие DNS-записи;
- отсутствие флагов безопасности на некритичных куках;
- утечки информации через заголовок referer;
- утечки информации через /status или /metrics без конкретного влияния на безопасность.


Перечисленные ниже уязвимости мы принимаем как информационные, если они не несут за собой прямого или косвенного финансового риска:
- уязвимости Open Redirect, если они не участвуют в цепочке атаки с более серьезным вектором;
- уязвимости, результатом которых является накрутка каких-либо параметров пользователя (рейтинга, реакций, количества подписчиков, репостов и т.д.), за исключением CSRF-атаки.


## Политика раскрытия уязвимостей
Наша программа допускает раскрытие информации о найденных уязвимостях **с разрешения представителя компании не менее чем через 30 дней со дня отправки отчета**, кроме того, компания оставляет за собой **право отказать в публикации отчета или задержать публикацию такового на неопределенный срок** без объяснения причин.

## Скоуп
- *.afisha.ru;
- *.daily.afisha.ru;
- *.eda.ru.
(Пояснение по спецпроектам в скоупе. В рамках поддоменов основного проекта могут размещаться спецпроекты с низкой критичностью, которые не входят в скоуп данной программы. Для проверки принадлежности домена в основной скоуп вы можете проверить вхождение его IP в диапазон 81.19.0.0/16. Уязвимости на домены с IP из других подсетей принимаются без оплаты либо с пониженной критичностью)

Компания «Афиша»

Компания «Афиша» объединяет медиасервис Afisha.ru, информационное издание «Афиша Daily», фестиваль Пикник «Афиши», проект «Афиша Рестораны», Eda.ru и мобильные приложения «Афиша». На Afisha.ru всегда можно найти актуальную информацию о различных офлайн- и онлайн-развлечениях — кино, концертах, спектаклях, выставках и купить билеты на интересующие мероприятия.

Rambler&Co ranks first among media holdings in Russia by monthly audience size, with over 47.7 million people (according to Mediascope, Cross Web, March 2022). It includes Lenta.ru, Gazeta.Ru, the Rambler portal, Championat, Sekret Firmy, Motor.ru, Ferra.ru, and several other media assets. Due to the diverse thematic focus of its platforms, the holding covers almost the entire spectrum of interests and needs of various audiences.

Rambler&Co

## Политика
- Пожалуйста, предоставляйте подробные отчеты с воспроизводимыми шагами.
- Отправляйте по одной уязвимости за отчет, если только вам не нужно связывать несколько уязвимостей в цепочку.
- В случае дублирования мы присуждаем награду только за первый полученный отчет (при условии, что его можно полностью воспроизвести).
- Объединяйте в один отчет уязвимости, у которых схожая основная причина (например, уязвимость библиотеки, которая используется на нескольких доменах из скоупа).
- Если исправление одной из присланных уязвимостей исправит уязвимость из нового отчета, вознаграждается только первоначальный отчет.
- Старайтесь максимально избегать нарушений конфиденциальности, уничтожения данных, прерывания или ухудшения качества наших услуг. Взаимодействуйте только с вашими учетными записями или с явного разрешения владельца другой учетной записи.
- Не запускайте сканирование, которое может снизить производительность или привести к отказу в обслуживании целевых приложений.
- В случае тестирования службы электронной почты при регистрации указывайте внешнюю электронную почту и включите "bugbounty" в ее имя, чтобы мы знали, что это не настоящий злоумышленник.
- Не открывайте и не вносите изменения в учетные записи клиентов.
- Не проводите атаки социальной инженерии, включая фишинг.
- Не используйте спам.
- Не выполняйте никаких физических атак.
- Запрещено любое боковое перемещение и постэксплуатация после получения первоначального доступа.
- Для уязвимостей нулевого дня мы принимаем отчеты после первых двух недель с первой публикации уязвимости.
- Уязвимости типа RCE, SQL, SSRF вне критичной инфраструктуры будут оцениваться ниже. Из критичной инфраструктуры должен быть доступен хост rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.





## Правила отчета
- Отчет должен быть полноценным и понятным для проверяющего, содержать все необходимые шаги/команды/зависимости для воспроизведения уязвимости. Шаги нужно расписывать подробно, с указанием того, что именно является уязвимым и как именно эксплуатировать эту уязвимость. Также необходимо приводить подтверждение – скриншоты запросов, результата или видео с полной реализацией атаки и четкими указаниями каждого шага.
- Помимо прочего, нужно описать потенциальные риски от эксплуатации уязвимости, а также будем признательны, если вы опишете ещё и рекомендации по устранению.
- Так как боковое перемещение запрещено, для некоторых уязвимостей достаточно следующих демонстраций:
- SQL Injection – получение версии базы данных;
- XXE / XML injection – демонстрация факта XXE, кроме DOS;
- XSS – вывод алерта или сообщения в лог;
- RCE – hostname, id, ifconfig;
- SSRF – curl на внутренний домен (rm.rambler-co.ru (10.99.2.223)), ожидаемый ответ от данного хоста – 302).



## Таблица выплат
Наши выплаты основываются на критичности уязвимости по CVSS 3.0, однако в компании мы используем внутреннюю политику по управлению уязвимостями, где градация критичности отличается от CVSS. Таблица с необходимыми диапазонами критичности:
Уровень критичности	Размер вознаграждения

| Уровень опасности | Ранжирование оплаты  |
|-------------------|----------------------|
| Critical(9.9-10)  | 500 000              |
| High(8.0-9.8)     | от 35 000 до 150 000 |
| Medium(4.0-7.9)   | от 5 000 до 35 000   |
| Low(0.1-3.9)      | до 5 000             |


## Памятка по ранжированию критичности
К критичнымк уязвимостям мы относим только те, которые приводят к получению доступа в корпоративную сеть, поэтому мы просим доказывать проникновение получением ответа от  https://rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.
Дополнительно к вышеописанному критерию для атак на Rambler ID критической будет считаться та, которая приведёт к полной утечке пользователей и их данных.
В качестве атак с высоким уровнем опасности мы определяем:
		1. атаки, ведущие к компрометации пользователя и включающие в себя не более чем одно действие от пользователя для реализации;		
2. атаки, ведущие к компрометации пользователя с высокими привилегиями, в частности – Stored XSS и Cacshe Poisoning;
		3. атаки на пользователя, приводящие к атакам на id.rambler.ru.
	Иные атаки определяются в прочие категории согласно своему уровню критичности по CVSS.


## Уязвимости
Основной упор мы хотим сделать на получении критичных уязвимостей:
- RCE;
- Injections;
- SSRF;
- LFI/RFI;
- XXE.


## Уязвимости вне программы
- Clickjacking;
- CSRF на логин/логаут;
- Man in the middle;
- любые методы социальной инженерии;
- Self-XSS;
- любая вредоносная активность, которая может привести к отказу в обслуживании (DoS);
- результаты работы автоматических сканеров без реального POC;
- инъекции http-заголовков без серьезного влияния на безопасность (в том числе CRLF);
- SPF/DKIM/DMARC-мисконфигурации;
- SSL/TLS best practice;
- атаки, требующие физического доступа к оборудованию компании;
- уязвимости в сторонних библиотеках, напрямую не ведущие к уязвимостям;
- отсутствие любых других best practice, напрямую не ведущих к уязвимости;
- уязвимости, применимые только к пользователям с устаревшими браузерами;
- устаревшие DNS-записи;
- отсутствие флагов безопасности на некритичных куках;
- утечки информации через заголовок referer;
- утечки информации через /status или /metrics без конкретного влияния на безопасность.


Перечисленные ниже уязвимости мы принимаем как информационные, если они не несут за собой прямого или косвенного финансового риска:
- уязвимости Open Redirect, если они не участвуют в цепочке атаки с более серьезным вектором;
- уязвимости, результатом которых является накрутка каких-либо параметров пользователя (рейтинга, реакций, количества подписчиков, репостов и т.д), за исключением CSRF-атаки.



## Политика раскрытия уязвимостей
Наша программа допускает раскрытие информации о найденных уязвимостях с разрешения представителя компании не менее чем через 30 дней со дня отправки отчета**, кроме того, компания оставляет за собой право отказать в публикации отчета или задержать публикацию такового на неопределенный срок** без объяснения причин.

##Скоуп
- *.rambler.ru 
(пояснение по спецпроектам в скоупе: в рамках поддоменов основного проекта могут размещаться спецпроекты с низкой критичностью, которые не входят в скоуп данной программы. Для проверки принадлежности домена в основной скоуп вы можете проверить вхождение его IP в диапазон 81.19.0.0/16. Уязвимости на домены с IP из других подсетей принимаются без оплаты либо с пониженной критичностью).
- В скоуп не входят любые домены в рамках *.rambler.ru, которые содержат *top100* как часть домена

Rambler&Co. Портал «Рамблер»: почта и агрегатор новостей

«Рамблер» — ведущий портал Рунета, объединяющий новостной агрегатор, развлекательные и тематические медиа, сервисы и почту. Ежемесячная аудитория составляет десятки миллионов пользователей. Входит в медиахолдинг Rambler&Co.

## Политика
- Пожалуйста, предоставляйте подробные отчеты с воспроизводимыми шагами.
- Отправляйте по одной уязвимости за отчет, если только вам не нужно связывать несколько уязвимостей в цепочку.
- В случае дублирования мы присуждаем награду только за первый полученный отчет (при условии, что его можно полностью воспроизвести).
- Объединяйте в один отчет уязвимости, у которых схожая основная причина (например, уязвимость библиотеки, которая используется на нескольких доменах из скоупа).
- Если исправление одной из присланных уязвимостей исправит уязвимость из нового отчета, вознаграждается только первоначальный отчет.
- Старайтесь максимально избегать нарушений конфиденциальности, уничтожения данных, прерывания или ухудшения качества наших услуг. Взаимодействуйте только с вашими учетными записями или с явного разрешения владельца другой учетной записи.
- Не запускайте сканирование, которое может снизить производительность или привести к отказу в обслуживании целевых приложений.
- В случае тестирования службы электронной почты при регистрации указывайте внешнюю электронную почту и включите "bugbounty" в ее имя, чтобы мы знали, что это не настоящий злоумышленник.
- Не открывайте и не вносите изменения в учетные записи клиентов.
- Не проводите атаки социальной инженерии, включая фишинг.
- Не используйте спам.
- Не выполняйте никаких физических атак.
- Запрещено любое боковое перемещение и постэксплуатация после получения первоначального доступа.
- Для уязвимостей нулевого дня мы принимаем отчеты после первых двух недель с первой публикации уязвимости.
- Уязвимости типа RCE, SQL, SSRF вне критичной инфраструктуры будут оцениваться ниже. Из критичной инфраструктуры должен быть доступен хост rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.





## Правила отчета
- Отчет должен быть полноценным и понятным для проверяющего, содержать все необходимые шаги/команды/зависимости для воспроизведения уязвимости. Шаги нужно расписывать подробно, с указанием того, что именно является уязвимым и как именно эксплуатировать эту уязвимость. Также необходимо приводить подтверждение – скриншоты запросов, результата или видео с полной реализацией атаки и четкими указаниями каждого шага.
- Помимо прочего, нужно описать потенциальные риски от эксплуатации уязвимости, а также будем признательны, если вы опишете ещё и рекомендации по устранению.
- Так как боковое перемещение запрещено, для некоторых уязвимостей достаточно следующих демонстраций:
- SQL Injection – получение версии базы данных;
- XXE / XML injection – демонстрация факта XXE, кроме DOS;
- XSS – вывод алерта или сообщения в лог;
- RCE – hostname, id, ifconfig;
- SSRF – curl на внутренний домен (rm.rambler-co.ru (10.99.2.223)), ожидаемый ответ от данного хоста – 302).



## Таблица выплат
Наши выплаты основываются на критичности уязвимости по CVSS 3.0, однако в компании мы используем внутреннюю политику по управлению уязвимостями, где градация критичности отличается от CVSS. Таблица с необходимыми диапазонами критичности:
Уровень критичности	Размер вознаграждения

| Уровень опасности | Ранжирование оплаты  |
|-------------------|----------------------|
| Critical(9.9-10)  | 500 000              |
| High(8.0-9.8)     | от 35 000 до 150 000 |
| Medium(4.0-7.9)   | от 5 000 до 35 000   |
| Low(0.1-3.9)      | до 5 000             |


## Памятка по ранжированию критичности
К критичным уязвимостям мы относим только те, которые приводят к получению доступа в корпоративную сеть, поэтому мы просим доказывать проникновение получением ответа от https://rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.
Дополнительно к вышеописанному, если через скоуп данной программы удалось атаковать Rambler ID, критической будет считаться та уязвимость, которая приведёт к полной утечке пользователей и их данных.
В качестве атак с высоким уровнем опасности мы определяем:
		1. атаки, ведущие к компрометации пользователя и включающие в себя не более чем одно действие от пользователя для реализации; 
		2. атаки, ведущие к компрометации пользователя с высокими привилегиями, в частности – Stored XSS и Cache Poisoning;
		3. атаки на пользователя, приводящие к атакам на id.rambler.ru.
	Иные атаки определяются в прочие категории согласно своему уровню критичности по CVSS.


## Уязвимости
Основной упор мы хотим сделать на получении критичных уязвимостей:
- RCE;
- Injections;
- SSRF;
- LFI/RFI;
- XXE.


## Уязвимости вне программы
- Clickjacking;
- CSRF на логин/логаут;
- Man in the middle;
- любые методы социальной инженерии;
- Self-XSS;
- любая вредоносная активность, которая может привести к отказу в обслуживании (DoS);
- результаты работы автоматических сканеров без реального POC;
- инъекции http-заголовков без серьезного влияния на безопасность (в том числе CRLF);
- SPF/DKIM/DMARC-мисконфигурации;
- SSL/TLS best practice;
- атаки, требующие физического доступа к оборудованию компании;
- уязвимости в сторонних библиотеках, напрямую не ведущие к уязвимостям;
- отсутствие любых других best practice, напрямую не ведущих к уязвимости;
- уязвимости, применимые только к пользователям с устаревшими браузерами;
- устаревшие DNS-записи;
- отсутствие флагов безопасности на некритичных куках;
- утечки информации через заголовок referer;
- утечки информации через /status или /metrics без конкретного влияния на безопасность.

Перечисленные ниже уязвимости мы принимаем как информационные, если они не несут за собой прямого или косвенного финансового риска:
- уязвимости Open Redirect, если они не участвуют в цепочке атаки с более серьезным вектором;
- уязвимости, результатом которых является накрутка каких-либо параметров пользователя (рейтинга, реакций, количества подписчиков, репостов и т.д.), за исключением CSRF-атаки.


## Политика раскрытия уязвимостей
Наша программа допускает раскрытие информации о найденных уязвимостях с разрешения представителя компании не менее чем через 30 дней со дня отправки отчета**, кроме того, компания оставляет за собой право отказать в публикации отчета или задержать публикацию такового на неопределенный срок** без объяснения причин.

## Скоуп
- *.championat.com (пояснение по спецпроектам в скоупе: в рамках поддоменов основного проекта могут размещаться спецпроекты с низкой критичностью, которые не входят в скоуп данной программы. Для проверки принадлежности домена в основной скоуп вы можете проверить вхождение его IP в диапазон 81.19.0.0/16. Уязвимости на домены с IP из других подсетей принимаются без оплаты либо с пониженной критичностью);
- tickets.championat.com.

Rambler&Co. Спорт

«Чемпионат» — лидер среди спортивных порталов Рунета. Наиболее быстрое и полное освещение всех главных событий в мире спорта: качественный эксклюзивный контент, аналитические материалы, подробная статистика матчей, фотографии и видео, live-трансляции.

## Политика
- Пожалуйста, предоставляйте подробные отчеты с воспроизводимыми шагами.
- Отправляйте по одной уязвимости за отчет, если только вам не нужно связывать несколько уязвимостей в цепочку.
- В случае дублирования мы присуждаем награду только за первый полученный отчет (при условии, что его можно полностью воспроизвести).
- Объединяйте в один отчет уязвимости, у которых схожая основная причина (например, уязвимость библиотеки, которая используется на нескольких доменах из скоупа).
- Если исправление одной из присланных уязвимостей исправит уязвимость из нового отчета, вознаграждается только первоначальный отчет.
- Старайтесь максимально избегать нарушений конфиденциальности, уничтожения данных, прерывания или ухудшения качества наших услуг. - Взаимодействуйте только с вашими учетными записями или с явного разрешения владельца другой учетной записи.
- Не запускайте сканирование, которое может снизить производительность или привести к отказу в обслуживании целевых приложений.
- Не открывайте и не вносите изменения в учетные записи клиентов.
- Не проводите атаки социальной инженерии, включая фишинг.
- Не используйте спам.
- Не выполняйте никаких физических атак.
- Запрещено любое боковое перемещение и постэксплуатация после получения первоначального доступа.
- Для уязвимостей нулевого дня мы принимаем отчеты после первых двух недель с первой публикации уязвимости.
- Уязвимости типа RCE, SQL, SSRF вне критичной инфраструктуры будут оцениваться ниже. Из критичной инфраструктуры должен быть доступен хост rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.





## Правила отчета
- Отчет должен быть полноценным и понятным для проверяющего, содержать все необходимые шаги/команды/зависимости для воспроизведения уязвимости. Шаги нужно расписывать подробно, с указанием того, что именно является уязвимым и как именно эксплуатировать эту уязвимость. Также необходимо приводить подтверждение – скриншоты запросов, результата или видео с полной реализацией атаки и четкими указаниями каждого шага.
- Помимо прочего, нужно описать потенциальные риски от эксплуатации уязвимости, а также будем признательны, если вы опишете ещё и рекомендации по устранению.
- Так как боковое перемещение запрещено, для некоторых уязвимостей достаточно следующих демонстраций:
- SQL Injection – получение версии базы данных;
- XXE / XML injection – демонстрация факта XXE, кроме DOS;
- XSS – вывод алерта или сообщения в лог;
- RCE – hostname, id, ifconfig;
- SSRF – curl на внутренний домен (rm.rambler-co.ru (10.99.2.223)), ожидаемый ответ от данного хоста – 302).



## Таблица выплат
Наши выплаты основываются на критичности уязвимости по CVSS 3.0, однако в компании мы используем внутреннюю политику по управлению уязвимостями, где градация критичности отличается от CVSS. Таблица с необходимыми диапазонами критичности:

| Уровень опасности | Ранжирование оплаты  |
|-------------------|----------------------|
| Critical(9.9-10)  | 500 000              |
| High(8.0-9.8)     | от 35 000 до 150 000 |

## Памятка по ранжированию критичности
К критичным уязвимостям мы относим только те, которые приводят к получению доступа в корпоративную сеть, поэтому мы просим доказывать проникновение получением ответа от https://rm.rambler-co.ru (10.99.2.223), ожидаемый ответ от данного хоста – 302.
В качестве атак с высоким уровнем опасности мы определяем:
		1. атаки, ведущие к компрометации пользователя и включающие в себя не более чем одно действие от пользователя для реализации; 
		2. атаки, ведущие к компрометации пользователя с высокими привилегиями, в частности – Stored XSS и Cache Poisoning;
	Иные атаки определяются в прочие категории согласно своему уровню критичности по CVSS.


## Уязвимости
Основной упор мы хотим сделать на получении критичных уязвимостей:
- RCE;
- Injections;
- SSRF;
- LFI/RFI;
- XXE.


Принимаются только серверные уязвимости** уровня «Критический» и «Высокий».** Уязвимости, основная цель атаки которых – клиент (XSS, CSRF и т.д.), не считая атаки на пользователей с высокими привилегиями (XSS в админской панели), принимаются без оплаты.



## Уязвимости вне программы:
- Clickjacking;
- CSRF на логин/логаут;
- Man in the middle;
- любые методы социальной инженерии;
- Self-XSS;
- любая вредоносная активность, которая может привести к отказу в обслуживании (DoS);
- результаты работы автоматических сканеров без реального POC;
- инъекции http-заголовков без серьезного влияния на безопасность (в том числе CRLF);
- SPF/DKIM/DMARC-мисконфигурации;
- SSL/TLS best practice;
- атаки, требующие физического доступа к оборудованию компании;
- уязвимости в сторонних библиотеках, напрямую не ведущие к уязвимостям;
- отсутствие любых других best practice, напрямую не ведущих к уязвимости;
- уязвимости, применимые только к пользователям с устаревшими браузерами;
- устаревшие DNS-записи;
- отсутствие флагов безопасности на некритичных куках;
- утечки информации через заголовок referer;
- утечки информации через /status или /metrics без конкретного влияния на безопасность.

Перечисленные ниже уязвимости мы принимаем как информационные, если они не несут за собой прямого или косвенного финансового риска:
- уязвимости Open Redirect, если они не участвуют в цепочке атаки с более серьезным вектором;
- уязвимости, результатом которых является накрутка каких-либо параметров пользователя (рейтинга, реакций, количества подписчиков, репостов и т.д.), за исключением CSRF-атаки.


## Политика раскрытия уязвимостей
Наша программа допускает раскрытие информации о найденных уязвимостях **с разрешения представителя компании не менее чем через 30 дней со дня отправки отчета**, кроме того, компания оставляет за собой **право отказать в публикации отчета или задержать публикацию такового на неопределенный срок** без объяснения причин.

## Скоуп
- www.livejournal.com

Rambler&Co. Блог-платформа LiveJournal

Живой Журнал (LiveJournal, LJ) — это блог-платформа для ведения онлайн-дневников. На Живом Журнале можно публиковать записи и комментарии к постам, вести коллективные блоги (сообщества), добавлять других пользователей в друзья и следить за ними в ленте друзей (френдленте).

**Program rules and policy**

• Please provide detailed reports with reproducible steps. 
• Submit a separate report for each discovered vulnerability unless you need to chain several vulnerabilities.
• When duplicates occur, we only reward the first report that we receive (provided that the vulnerability described in the report can be fully reproduced).
• Include vulnerabilities that share a similar cause in a single report (for example, if you discover a vulnerability in a library used in multiple domains within the scope).
• If fixing a vulnerability reported earlier also fixes the vulnerability described in a later report, only the former report will be rewarded.
• Avoid actions that might result in privacy violations, destruction of data, or interruption or degradation of our services. Use only your own accounts. You can interact with the accounts of other users only if they explicitly consent to it.
• Do not run scans that may lead to degraded performance or denial of service of the target applications.
• When testing our email service, register your account by specifying an external email address that includes "bugbounty" so that we know you are not a malicious actor.
• Do not open or modify our clients' accounts.
• Do not carry out social engineering attacks, including phishing.
• Do not spam.
• Do not conduct physical attacks of any kind.
• After gaining initial access, participants are forbidden from lateral movement and post-exploitation.
• We accept reports of 0-day vulnerabilities if the vulnerabilities were publicly disclosed more than two weeks before the report submission.
• RCE, SQL, and SSRF vulnerabilities discovered outside of the critical infrastructure will receive smaller rewards. Within the critical infrastructure, the host rm.rambler-co.ru (10.99.2.223) must be available; the expected response is 302.


**Report requirements**

The report must be exhaustive and intelligible to the reviewer. It must include all the steps, commands, and dependencies necessary to reproduce the vulnerability. Provide detailed steps that specify what is vulnerable and how it can be exploited. You must also present evidence that backs up your findings, such as screenshots of requests and results or videos demonstrating the entire attack kill chain.
Be sure to describe the potential risks related to the vulnerability. We would appreciate it if you would also provide recommendations for remediation.
Since lateral movement is prohibited, some vulnerabilities can be demonstrated with the following data:
• SQL injection: database version.	
• XXE or XML injection: demonstration of XXE without DoS.	
• XSS: output of the alert or log message.	
• RCE: hostname, id, ifconfig.	
• SSRF: curl to the internal domain (rm.rambler-co.ru (10.99.2.223); the expected response from the host is 302).	


**Rewards**

The rewards we offer are based on the CVSS 3.0 vulnerability scoring system, but we also use our own vulnerability management policy that defines severity levels differently. The relevant severity score ranges are provided in the table below.
| Severity level | Reward |
| ----------- | ----------- |
| Critical (9.9–10.0) | ₽55,000–₽150,000 |
| High (8.0–9.8) | ₽30,000–₽55,000 |
| Medium (4.0–7.9) | ₽3,000–₽25,000 |
| Low (0.1–3.9) | ₽0–₽3,000 |


**Vulnerabilities**

We prioritize the following critical vulnerabilities:
• RCE
• Injections
• SSRF
• LFI/RFI
• XXE


**LiveJournal**

Researchers are welcome to report vulnerabilities in this domain:
• www.livejournal.com
as well as vulnerabilities in domains on the subnet 81.19.74.0/24.

Rewards are only provided for server-side vulnerabilities of high and critical severity. Vulnerabilities that mainly expose clients (XSS, CSRF, and so on)—unless high-privilege accounts are targeted (for example, XSS in the admin panel)—will be considered, but no reward is provided for them.


**Out-of-scope submissions and vulnerabilities**
• Clickjacking.
• Login/Logout CSRF.
• Man-in-the-middle (MITM) attacks.
• Use of social engineering methods.
• Self-XSS.
• Any malicious activities that may lead to denial of service.
• Output of automated scanners without a viable proof of concept (PoC).
• HTTP header injections without significant impact (including CRLF).
• SPF, DKIM, or DMARC misconfigurations.
• Lack of SSL/TLS best practices.
• Attacks that require physical access to the company's equipment.
• Vulnerabilities in third-party libraries without immediate security impact.
• Lack of other best practices without immediate security impact.
• Vulnerabilities only applicable to outdated browser versions.
• Obsolete DNS entries.
• Lack of security flags in non-critical cookies.
• Information leaks through the Referer header.
• Information leaks through /status or /metrics without demonstrable security impact.

The following vulnerabilities will be accepted as *Informative* unless they impose direct or indirect financial risks:
• Open redirect vulnerabilities if they are not associated with a more critical attack vector.
• Vulnerabilities that can be exploited to drive up user metrics (such as ratings, reactions, and number of followers or reposts) but do not lead to direct financial losses (for example, as in the case of a prize contest), excluding CSRF.

Rambler&Co is the largest media holding in Russia by the audience of digital resources — over 45.2 million people monthly (Mediascope, Cross Web, 2023), It includes Lenta.ru, Gazeta.Ru, Championat.com, Rambler.ru, The Firm’s Secret and a number of other media assets, which publish the most complete news picture of the day, promptly cover Russian and world events, as well as regularly create special projects that are very popular with readers.

Programs