Политика ответственного раскрытия информации

Для HotelSync важна безопасность как наших пользователей, так и наших систем. Программа ответственного информирования о безопасности позволяет вам сообщить HotelSync о возможных уязвимостях. Мы поощряем сообщения об уязвимостях безопасности, обнаруженных в продуктах HotelSync.

В этой статье описано, как отправить свой отчет, а также приведены наши рекомендации.

Правила и требования

Не пытайтесь читать, изменять или получать доступ к каким-либо личным данным, к которым у вас есть доступ
Не раскрывайте информацию об уязвимостях публично.
Не проводите тестирование, которое может прервать работу сервисов или ухудшить возможность пользователей ими пользоваться.
Не используйте агрессивные автоматизированные сканеры.
Все тестирование должно проводиться строго в рамках областей и доменов, указанных ниже.

В рамках программы

app.hotelsync.com
beta.hotelsync.com
app.hotelsync.com/engine
app.hotelsync.com/multiproperty
Мобильные приложения HotelSync

Уязвимости, не входящие в область программы

hotelsync.com
Проблемы с DMARC/SPF
Проблемы, связанные с XSS
Проблемы, связанные с версиями TLS/SSL
Распределенные атаки типа «отказ в обслуживании» (DDoS)
Перебор адресов электронной почты или учетных записей
Любые проблемы, связанные с физическим доступом
Ранее сообщенные уязвимости безопасности
Социальная инженерия
Фишинговые атаки
Любые уязвимости в приложениях или на сайтах третьих сторон
Любые уязвимости на стороне клиента (например, в браузерах, плагинах)

Как сообщить об уязвимости

Мы просим вас разделить с нами заботу о безопасности наших пользователей, поэтому дайте нам время на анализ обращений в рамках этой программы и устранение обнаруженных уязвимостей. Сообщения нужно направлять по адресу office@hotelsync.com со следующей информацией:

Описание проблемы
Версия браузера (если применимо)
Сценарий (если применимо)
Шаги для воспроизведения
Любая дополнительная информация или ссылки
Доказательство концепции: скрипты, скриншоты и сжатые записи экрана
Степень влияния уязвимости

Мы будем держать вас в курсе хода рассмотрения на всех этапах.