Verantwoordelijke openbaarmaking
Zorg voor veiligheid en transparantie door middel van verantwoorde openbaarmaking bij TeamRetro. Lees meer over ons beleid inzake het melden van kwetsbaarheden en het waarborgen van gegevensbescherming.
Verantwoorde openbaarmaking
Onze klanten vertrouwen erop dat wij hun gegevens veilig en vertrouwelijk behandelen. Wij nemen beveiliging zeer serieus en werken voortdurend eraan om ervoor te zorgen dat dit vertrouwen terecht is. Wilt u iets melden? Neem dan contact met ons op via security@groupmap.com
Verantwoorde openbaarmaking
Wij moedigen iedereen die zich houdt aan de beginselen van verantwoorde melding en onze beleidsregels en gebruiksvoorwaarden naleeft, aan om deel te nemen aan ons programma voor het melden van kwetsbaarheden. Vermijd alstublieft geautomatiseerde tests en voer beveiligingstests uitsluitend uit met uw eigen gegevens. Maak alstublieft geen informatie over de kwetsbaarheden openbaar totdat wij deze hebben verholpen. Wij kunnen, naar eigen goeddunken, erkenning toekennen voor hoogwaardige, impactvolle meldingen die een reëel beveiligingsrisico aantonen.
U kunt kwetsbaarheden melden door contact op te nemen met security@groupmap.com. Gelieve een proof of concept bij te voegen. Wij zullen zo snel mogelijk op uw melding reageren en zullen geen juridische stappen ondernemen indien u zich aan de regels houdt.
Verslaggeving:
secure.teamretro.com
Uitsluitingen:
*.eu.teamretro.comww1.teamretro.comww2.teamretro.comww3.teamretro.comwww.teamretro.comat.teamretro.comhelp.teamretro.comfeedback.teamretro.commail.teamretro.comstatus.teamretro.comtrack.teamretro.comgames.teamretro.complanning-poker.teamretro.comwww-assets.teamretro.com
De volgende kwetsbaarheden worden geaccepteerd:
- Cross-Site Scripting (XSS)
- Open doorverwijzing
- Cross-site Request Forgery (CSRF)
- Opname van opdrachten/bestanden/URL’s
- Problemen met authenticatie
- Uitvoering van code
- Code- of database-injecties
Dit programma voor het melden van kwetsbaarheden omvat NIET:
- Het opsporen van accounts en e-mailadressen
- Denial-of-Service (DoS)
- Aanvallen die de betrouwbaarheid of integriteit van onze bedrijfsvoering zouden kunnen schaden
- Spamaanvallen
- Clickjacking op pagina’s zonder authenticatie en/of gevoelige statuswijzigingen
- Waarschuwingen voor gemengde inhoud
- Het ontbreken van DNSSEC
- Inhoudsvervalsing / tekstinjectie
- Timing-aanvallen
- Social engineering
- Phishing
- Onbeveiligde cookies voor niet-gevoelige cookies of cookies van derden
- Kwetsbaarheden waarvoor een uiterst onwaarschijnlijke interactie van de gebruiker vereist is
- Exploits waarvoor fysieke toegang tot de computer van een gebruiker vereist is
- Ontbrekende beveiligingsheaders die niet direct tot een kwetsbaarheid leiden
- Ontbrekende beste praktijken (wij hebben bewijs nodig van een beveiligingslek)
- Rapporten die door geautomatiseerde scanners worden gegenereerd zonder dat het effect daarvan is aangetoond
- Ontbrekende beveiligingsheaders zonder aangetoonde kwetsbaarheid
- Problemen met de SSL/TLS-configuratie zonder dat er sprake is van een aangetoonde kwetsbaarheid
- Ontbrekende snelheidsbeperking
- Self-XSS (hierbij moet het slachtoffer de code in zijn eigen console plakken)
- Inloggen/uitloggen CSRF
- Beveiligingslekken waarvoor verouderde of niet langer ondersteunde browsers vereist zijn
- Dubbele meldingen of reeds bekende problemen
Vereisten voor het indienen van een aanvraag
Alle rapporten moeten de volgende gegevens bevatten; anders worden ze niet in behandeling genomen:
- Getroffen URL of eindpunt
- Stapsgewijze instructies voor het namaken
- Proof of concept (schermopnames, video of code)
- Beschrijving van de gevolgen voor de beveiliging
Geautomatiseerd scannen is niet toegestaan zonder voorafgaande schriftelijke toestemming. Alle tests moeten handmatig worden uitgevoerd en alle details van het programma voor het melden van kwetsbaarheden moeten vertrouwelijk blijven.
Onze dank gaat uit naar de volgende beveiligingsonderzoekers:
- Abin Joseph
- daniel_v
- Ananda Dhakal
- Luiz Viana
- Aman Gupta
- Vipul Sahu
- Hsu Myat Noe
- Tomasz Bartoszewski
- Harry Gertos
- Sathwik Veeramaneni
- Yassine Nafiai
- SIDN SOC
- Burhan Chhotaudepur
- Faizan Nehal
- Aaditya Kumar Sharma
- Syed Ahsan Raza
- Mohammed Eldawody
- Yaniv Shoshani
- Lucas Werkmeister
- Ankit Rathva