Divulgação Responsável
Mantenha a segurança e a transparência por meio da divulgação responsável na TeamRetro. Conheça nossa política para relatar vulnerabilidades e garantir a proteção de dados.
SSL
Divulgação Responsável
Nossos clientes confiam em nós para manter seus dados seguros e confidenciais. Levamos a segurança a sério e trabalhamos constantemente para garantir que essa confiança seja bem fundamentada. Tem algo a relatar? Entre em contato conosco pelo e-mail security@groupmap.com
Divulgação responsável
Incentivamos todos aqueles que praticam a divulgação responsável e cumprem nossas políticas e termos de serviço a participarem do nosso programa de divulgação de vulnerabilidades. Evite testes automatizados e realize testes de segurança apenas com seus próprios dados. Não divulgue nenhuma informação sobre as vulnerabilidades até que as corrijamos. Podemos, a nosso exclusivo critério, oferecer reconhecimento por relatórios de alta qualidade e de grande impacto que demonstrem um risco de segurança genuíno.
Você pode relatar vulnerabilidades entrando em contato com security@groupmap.com. Por favor, inclua uma prova de conceito. Responderemos o mais rápido possível ao seu relato e não tomaremos medidas legais caso você siga as regras.
Cobertura:
secure.teamretro.com
Exclusões:
*.eu.teamretro.comww1.teamretro.comww2.teamretro.comww3.teamretro.comwww.teamretro.comat.teamretro.comhelp.teamretro.comfeedback.teamretro.commail.teamretro.comstatus.teamretro.comtrack.teamretro.comgames.teamretro.complanning-poker.teamretro.comwww-assets.teamretro.com
As vulnerabilidades aceitas são as seguintes:
- Cross-Site Scripting (XSS)
- Redirecionamento aberto
- Falsificação de Solicitação entre Sites (CSRF)
- Inclusão de comando/arquivo/URL
- Problemas de autenticação
- Execução de código
- Injeções de código ou de banco de dados
Este programa de divulgação de vulnerabilidades NÃO inclui:
- Enumerações de contas/e-mails
- Negação de Serviço (DoS)
- Ataques que poderiam prejudicar a confiabilidade/integridade de nossos negócios
- Ataques de spam
- Clickjacking em páginas sem autenticação e/ou alterações significativas no estado
- Avisos sobre conteúdo misto
- Ausência de DNSSEC
- Falsificação de conteúdo / injeção de texto
- Ataques de temporização
- Engenharia social
- Phishing
- Cookies não seguros para cookies não confidenciais ou cookies de terceiros
- Vulnerabilidades que exigem uma interação do usuário extremamente improvável
- Vulnerabilidades que exigem acesso físico ao computador do usuário
- Ausência de cabeçalhos de segurança que não levam diretamente a uma vulnerabilidade
- Falta de práticas recomendadas (exigimos comprovação de uma vulnerabilidade de segurança)
- Relatórios gerados por scanners automatizados sem impacto comprovado
- Ausência de cabeçalhos de segurança sem uma exploração comprovada
- Problemas de configuração de SSL/TLS sem uma vulnerabilidade comprovada
- Ausência de limitação de taxa
- Self-XSS (exige que a vítima cole o código em seu próprio console)
- CSRF de login/logout
- Vulnerabilidades que exigem navegadores desatualizados ou sem suporte
- Relatórios duplicados ou problemas já conhecidos
Requisitos para envio
Todos os relatórios devem incluir os seguintes elementos; caso contrário, não serão analisados:
- URL ou endpoint afetado
- Instruções passo a passo para reprodução
- Prova de conceito (capturas de tela, vídeo ou código)
- Descrição do impacto na segurança
A varredura automatizada não é permitida sem aprovação prévia por escrito. Todos os testes devem ser realizados manualmente e todos os detalhes do programa de divulgação de vulnerabilidades devem permanecer confidenciais.
Agradecemos aos seguintes pesquisadores de segurança:
- Abin Joseph
- daniel_v
- Ananda Dhakal
- Luiz Viana
- Aman Gupta
- Vipul Sahu
- Hsu Myat Noe
- Tomasz Bartoszewski
- Harry Gertos
- Sathwik Veeramaneni
- Yassine Nafiai
- SIDN SOC
- Burhan Chhotaudepur
- Faizan Nehal
- Aaditya Kumar Sharma
- Syed Ahsan Raza
- Mohammed Eldawody
- Yaniv Shoshani
- Lucas Werkmeister
- Ankit Rathva