Reportar vulnerabilidades
Atualizado
Atualizado
Após se cadastrar como pesquisador na plataforma, você obterá acesso aos torneios disponíveis e poderá começar a reportar suas primeiras vulnerabilidades.
Na Bypassec, podemos ter dois tipos de torneios:
Públicos: acessíveis a todos os pesquisadores
Privados: restrito para pesquisadores com melhores desempenhos e selecionados pela própria Bypassec.
Para visualizar os torneios disponíveis, acesse a aba "Torneios" dentro da plataforma:
Cada torneio possui a sua própria política de testes e escopo que pode ser visualizada ao clicar sobre o torneio.
Para reportar uma vulnerabilidade, preencha todos os campos disponíveis e descreva com detalhes o processo de exploração.
Após reportar a vulnerabilidade, você poderá acompanha-la em na aba "Dashboard":
Ao reportar vulnerabilidades, as mesmas passarão por um processo de validação pelo time da Bypassec antes de terem seus status atualizados.
Relatórios incompletos ou que não contenham uma clara descrição e passos para reprodução, serão automaticamente invalidados e não estarão elegíveis para recompensa.
Da mesma forma, vulnerabilidades que não demonstrem impacto relevante para a organização serão consideradas inválidas.
Os status existentes são:
Pendente: A vulnerabilidade foi reportada e será validada pela Bypassec ao final do torneio.
Duplicada: A vulnerabilidade é válida e também foi relatada por outros pesquisadores.
Válida: A vulnerabilidade é válida e única.
Inválida: A vulnerabilidade é inválida e não estará elegível para recompensas.
Durante o processo de validação, a Bypassec poderá entrar em contato via e-mail ou discord com o pesquisador caso o relatório precise de mais informações.
O pesquisador terá 48h para responder antes que a vulnerabilidade seja invalidada.
Todas as evidências referente à vulnerabilidade que está sendo reportada devem ser enviadas através da funcionalidade de upload da própria plataforma.
É estritamente proibido armazenar/enviar evidências em aplicações que as disponibilizem publicamente sem nenhuma proteção ou credencial.
É estritamente proibido realizar testes em ativos que não estejam explicitamente definidos na seção de escopo, conforme descrito nos da plataforma.
