Время ответа

• Время ответа (от момента получения информации) — до 5 рабочих дней;
• Время на обработку отчета (от момента получения всей информации по отчету) — до 10 рабочих дней;
• Время на выплату вознаграждения (от момента обработки отчета) — до 20 рабочих дней.

Политика раскрытия информации

• Необходимо придерживаться общих принципов ответственного раскрытия информации;
• Не разглашать сведения об уязвимостях (даже если они уже исправлены) и не передавать сведения третьим лицам без явного согласия «Азбука вкуса»;
• Не использовать обнаруженную уязвимость для своей собственной и/или иной выгоды, за исключением выгоды автора данной программы. Данное требование включает демонстрацию дополнительных рисков, попытка раскрыть конфиденциальные данные или найти другие уязвимости.

Правила программы

Основные правила

• Размер вознаграждения зависит от уровня опасности найденной уязвимости;
• В случае дублирования отчетов, выплата вознаграждения будет осуществлена только за первый присланный отчёт (при условии, что уязвимость, описанная в отчете, может быть полностью воспроизведена);
• Многочисленные отчёты или описанные в одном отчёте уязвимости, вызванные одной основной проблемой, будут вознаграждены одним вознаграждением. Одна и та же уязвимость, обнаруженная в нескольких доменах, будет рассматривать как одна уязвимость. Просим Вас сообщать обо всех затронутых уязвимостью доменах в рамках одного отчета. Все последующие отчеты будут закрыты как дубликаты;
• Тестовые аккаунты могут быть предоставлены по запросу, в исключительных случаях;
• Любые отчеты, не входящие в область обнаружения, будут приняты к сведению, но не будут вознаграждены;
• Участниками данной программы не могут являться сотрудники компании «Азбука вкуса» (действующими или бывшими), а равно аффилированными с ними лицами.

При поиске уязвимости и предоставлении отчета необходимо соблюдать следующие требования:

• Предоставлять подробные отчеты с воспроизводимыми шагами, включая полные запросы, приводящие к эксплуатации уязвимости;
• Просим Вас присылать по одной уязвимости в отчете, за исключением необходимости связать несколько уязвимостей для успешной эксплуатации атаки;
• Не разглашать сведения об уязвимостях и не передавать сведения третьим лицам;
• Не использовать инструменты тестирования уязвимостей, которые автоматически генерируют значительные объемы и/или частоту сетевого трафика;
• Не осуществлять атаки, которые могут нанести вред надёжности и/или целостности служб/сервисов компании «Азбука вкуса» или данных (атаки типа «отказ в обслуживании» и другие);
• Не открывать и/или не вносить изменения в учетные записи клиентов. Если необходимо, использовать свои собственные учетные записи для поиска уязвимостей;
• Не осуществлять рассылку спама и атаки социальной инженерии на клиентов и сотрудников Компании, включая фишинг;
• Не выполнять никаких физических атак;
• Любая дальнейшая эксплуатация уязвимости после присланного отчета об этой уязвимости запрещена.

Определение области обнаружения уязвимостей в рамках политики

В область обнаружения уязвимостей входят:

• Сервисы

• Сервисы с мини-играми для получения промокодов и бонусов.
  Эти сервисы имеют специфические требования и особенности, которые могут не соответствовать целям и задачам нашей программы Bug Bounty.

• Уязвимости

В область обнаружения уязвимостей не входят

Сервисы

• tender.av.ru
• owa.azbukavkusa.ru
• pool01.azbukavkusa.ru
• pool02.azbukavkusa.ru
• sip.azbukavkusa.ru
• meet.azbukavkusa.ru
• join.azbukavkusa.ru
• autodiscover.azbukavkusa.ru
• Сервисы, предоставляющие информацию о торговых точках:
  • https://shops.av.ru/api/v1/shops
  • https://services-api.av.ru/shops
• Все сервисы, не указанные в области обнаружения (out of scope).
• Веб‑страницы и сервисы, перенаправляющие на другие доменные имена, также выходят из области обнаружения.
• Беспроводная (Wi‑Fi) инфраструктура, включая сети в физических магазинах, не подлежит тестированию и оценке безопасности.

Типы уязвимостей

• CSRF‑уязвимости для некритичных действий (например, logout).
• Self‑XSS без демонстрации реального воздействия на безопасность пользователей или систем.
• Framing‑ и clickjacking‑атаки без документированной серии кликов, подтверждающей реальную эксплуатацию.
• Отсутствие механизма безопасности или отклонение от лучших практик без доказательства реального риска.
• Отсутствие SSL/TLS или использование устаревших шифров SSL/TLS.
• Раскрытие некритичной информации (например, версии продукта, протокола и т.д.).
• Google/Yandex API‑ключи.
• CWE‑521: слабые требования к паролям.
• Атаки, требующие полного доступа к паролям, токенам, профилю браузера или локальной системе.
• Ошибки, не затрагивающие последние версии современных браузеров, или ошибки, вызванные расширениями браузеров.
• Уязвимости, проявляющиеся только у определённых пользователей или в определённых браузерах.
• Атаки, требующие крайне маловероятного взаимодействия пользователя.
• Атаки типа DoS (отказ в обслуживании) или уязвимости, связанные с ограничением частоты запросов.
• Временные атаки, демонстрирующие наличие или отсутствие учётной записи.
• Небезопасные настройки cookie

Требования к оформлению Отчета

• Название уязвимости.
• Продукт и версия затрагиваемого ПО (компонента).
• Рабочее доказательство концепции (PoC) или подробное описание шагов по воспроизведению обнаруженной проблемы безопасности.
• Описание сценария атаки с указанием следующих основных аспектов: кто хочет использовать конкретную уязвимость, для какой выгоды, каким образом осуществляется реализация и другая дополнительная информация.
• Рекомендации по устранению

Дальнейшая эксплуатация уязвимости после присланного отчета об этой уязвимости