Verantwortungsbewusste Offenlegung

• Geben Sie klare, vollständige und reproduzierbare Schritte an, um das Problem zu veranschaulichen.

• Geben Sie pro Bericht jeweils eine Sicherheitslücke an, es sei denn, zur Darstellung der Auswirkungen ist eine Verkettung erforderlich.

• Doppelte Meldungen werden anhand der ersten gültigen Eingabe, die eingegangen ist, sortiert.

• Mehrere Sicherheitslücken, die auf ein und dieselbe Ursache zurückzuführen sind, werden als ein einziger Bericht behandelt.

• Social Engineering (z. B. Phishing, Vishing, Smishing) ist verboten.

• Handeln Sie nach Treu und Glauben – vermeiden Sie Datenschutzverletzungen, Datenvernichtung oder Betriebsstörungen. Führen Sie Tests nur mit Konten durch, deren Inhaber Sie sind oder für deren Nutzung Sie die ausdrückliche Erlaubnis haben.

Berücksichtigen Sie bei der Meldung von Sicherheitslücken sowohl die Ausnutzbarkeit als auch die Auswirkungen auf die Sicherheit. Die folgenden Probleme fallen nicht in den Geltungsbereich:

• Clickjacking auf Seiten ohne sensible Aktionen.

• Cross-Site Request Forgery (CSRF) bei nicht authentifizierten Formularen oder Formularen ohne sensible Vorgänge.

• Angriffe, die eine Man-in-the-Middle-Position (MITM) oder physischen Zugriff auf das Gerät eines Benutzers erfordern.

• Meldungen über bekannte anfällige Bibliotheken ohne funktionierenden Proof-of-Concept.

• CSV-Injektion (Comma-Separated Values), ohne dass eine Ausnutzbarkeit nachgewiesen wurde.

• Es fehlen Konfigurationen gemäß den SSL/TLS-Best-Practices.

• Jede Aktivität, die die Verfügbarkeit des Dienstes beeinträchtigen könnte (einschließlich DoS-Szenarien).

• Inhaltsfälschung oder Text-Injektion ohne einen realisierbaren Angriffsvektor oder die Möglichkeit, HTML/CSS zu verändern.

• Bedenken hinsichtlich Ratenbegrenzung oder Brute-Force-Angriffen auf Endpunkte ohne Authentifizierung.

• Es fehlen Best Practices zur Content Security Policy (CSP).

• In den Cookies fehlen die Flags „HttpOnly“ oder „Secure“.

• Probleme im Zusammenhang mit Best Practices bei der E-Mail-Konfiguration (z. B. unvollständige oder fehlende SPF-, DKIM- oder DMARC-Einträge)

• Probleme, die ausschließlich veraltete oder nicht gepatchte Browser betreffen (die mehr als zwei stabile Versionen hinterherhinken).

• Angaben zur Softwareversion, Identifizierung über Banner oder beschreibende Fehlermeldungen bzw. Kopfzeilen (z. B. Stack-Traces, Anwendungs- oder Serverfehler).

• Tabnabbing.

• Offene Weiterleitungen ohne nachweisbare zusätzliche Sicherheitsauswirkungen.

• Probleme, die eine unwahrscheinliche oder äußerst unpraktische Benutzerinteraktion erfordern.