$ cat /etc/internalhost/responsible-disclosure

Felelős közzététel

Verzió 1.0 · Utolsó frissítés: 2026-05-19 · gépi-olvasható: /.well-known/security.txt

Hibát, sérülékenységet vagy visszaélést találtál? Szólj. Értékeljük a felelős közzétételt, és 48 órán belül válaszolunk — általában gyorsabban.

Hogyan jelentsd

  • E-mail: [email protected] — előnyben részesítve írásos jelentéseknél reprodukálható PoC-vel.
  • Signal: link a lábléc alatt. Valós idejű triázshoz vagy ha aktívan kihasználják.
  • PGP: még nincs publikálva. Amint tényleg érzékeny jelentéseket kapunk, lesz.

A jelentésednek legalább a következőket kell tartalmaznia: reprodukálási lépések, hatásbecslés, érintett URL/hostname, kapcsolatfelvételi adataid a folytatáshoz.

Hatókörön belül

  • Produkciós infrastruktúra: *.internalhost.eu és bármi, ami AS204729-en keresztül van routolva ().
  • Ügyfélportál: ez a weboldal (Paymenter).
  • Mail-infrastruktúra: mail.internalhost.eu, mx2.internalhost.eu.
  • Nyilvános forráskódunk a github.com/internalhost-eu címen.

Hatókörön kívül

  • Ügyfélszerverek (VPS / dedikált / kolokáció): ezek az ügyfeleinkhez tartoznak. Tilos a tesztelés a tulajdonos írásos engedélye nélkül. Fenntartjuk a jogot, hogy az ügyfél IP-jén végzett engedély nélküli kutatást a rendőrségnek bejelentsük.
  • Denial of Service és volumetrikus támadások.
  • Spam, phishing, social engineering a munkatársaink vagy ügyfeleink ellen.
  • Elméleti problémák működő Proof of Concept nélkül.
  • Automatikus szkenner-találatok manuális verifikáció nélkül ("az SSL nem A+ a Qualys-en" nem sérülékenység).
  • Upstream problémák open-source projektekben (Laravel, Filament, Paymenter, CloudPanel stb.) — ezeket közvetlenül oda jelentsd.

Mit vállalunk

  • 48 órán belül válaszolunk, általában 8 munkaórán belül.
  • Komolyan kivizsgáljuk és tájékoztatunk a haladásról.
  • Nem indítunk jogi lépéseket olyan kutatók ellen, akik jóhiszeműen, ezt a politikát követve járnak el.
  • A megerősített hibák hall-of-fame említést kapnak (ha kérsz) és személyes Signal köszönetet Nicktől.
  • A sérülékenységeket a nyilvános közzététel előtt foltozzuk. Alapértelmezett közzétételi ablak: 90 nap a megerősítés után, rövidebb, ha aktívan kihasználják.

Amit nem kínálunk

Nincs bug-bounty program készpénzes jutalommal. Kis csapat vagyunk. Amit kapsz:

  • Nyilvános elismerés ezen az oldalon (vagy anonim, ahogy szeretnéd).
  • InternalHost merch (amint lesz).
  • Beszélgetés magáról a hibáról, nem manager-vezérelt prioritásokról.

Hall of fame

Kutatók, akik segítettek. Köszönjük.

Egyelőre üres — légy az első.