PradžiaPažeidžiamumų atskleidimas
Pažeidžiamumų atskleidimas.
Saugumą vertiname rimtai. Kviečiame atsakingai pranešti apie pažeidžiamumus grimm.lt ir pdvs.lt sistemose – ši politika paaiškina, kaip dirbame su saugumo tyrėjais.
Trumpai
PDVS-VDP-01- Pranešimai
- security@grimm.lt
- Taikymo sritis
- grimm.lt · pdvs.lt
- Saugus uostas
- Taikomas sąžiningam tyrimui
- Atlygis
- iki 2 000 EUR
- Galioja nuo
- 2026-09-20
Sąžiningam tyrėjui
Laikantis šių gairių, teisinių veiksmų prieš jus nesiimsime.
Dvi sritys
Tyrimams atviros dvi paslaugos: grimm.lt ir pdvs.lt. Klientų diegimai – ne.
Atlygis pagal poveikį
Vertiname realų poveikį ir pranešimo kokybę, ne radinių skaičių.
Etiško tyrimo gairės
Tirdami grimm.lt ir pdvs.lt sistemas, laikykitės keturių taisyklių.
Būkite atsargūs
Nepasiekite, nekeiskite ir netrinkite jums nepriklausančių duomenų. Nebloginkite sistemos veikimo ir netrikdykite paslaugos kitiems naudotojams.
Likite ribose
Tirkite tik tai, kas aiškiai įtraukta į taikymo sritį. Nebandykite pasiekti už jos ribų esančių sistemų ar duomenų.
Praneškite aiškiai
Apie pažeidžiamumą praneškite nedelsdami ir pateikite tiek informacijos, kad galėtume jį atkartoti ir ištaisyti.
Išlaikykite konfidencialumą
Neskelbkite pažeidžiamumo viešai, kol jo neištaisėme ir kol negavote aiškaus mūsų sutikimo skelbti.
Saugaus uosto pažadas
Jei laikotės šių gairių, pažadame:
Jokių teisinių veiksmų
Nesikreipsime į teisėsaugą ir nekelsime ieškinių tyrėjams, kurie pažeidžiamumą aptiko ir apie jį pranešė sąžiningai, laikydamiesi šios politikos.
Sąžiningą bendradarbiavimą
Kartu išsiaiškinsime ir ištaisysime pagrįstus, rankomis patikrintus radinius. Dėl didelio dirbtinio intelekto sugeneruotų pranešimų srauto atsakymo laikas svyruoja ir fiksuoto patvirtinimo termino negarantuojame.
Taikymo sritis
Saugumo tyrimams atviros šios MB GRIMM.LT paslaugos:
grimm.lt
Įmonės svetainė ir joje veikiančios formos.
pdvs.lt
PDVS produkto svetainė, demonstracinė aplinka ir klientų savitarna.
Klientų diegimai jų pačių adresuose į taikymo sritį nepatenka – juos tirti galima tik turint raštišką to kliento leidimą.
Ko neįtraukiame
Šie atvejai į programą neįtraukiami ir atlygio už juos neskiriame:
- Atakos, kurioms reikia fizinės prieigos prie įrenginių ar tinklo.
- Socialinė inžinerija (fišingas, skambučiai, apsimetinėjimas).
- Paslaugos trikdymo (DoS, DDoS) atakos.
- Brukalas ir el. pašto užtvindymas.
- Pažeidžiamumai trečiųjų šalių paslaugose ar bibliotekose, kurių neprižiūrime.
- Problemos trečiųjų šalių programose, integracijose ar naršyklių plėtiniuose, kurių nekūrėme.
- Pažeidžiamumai pasenusiose naršyklėse, papildiniuose ar kitoje trečiųjų šalių programinėje įrangoje.
- Clickjacking be realaus poveikio saugumui.
- Sertifikatų skaidrumo žurnalų (CT log) klausimai.
- Viešai pasiekiami failai ar katalogai, kuriuose nėra jautrių duomenų.
- Trūkstamos saugumo antraštės, jei dėl jų neatsiranda apčiuopiamo pažeidžiamumo.
Sunkumas ir atlygis
Pažeidžiamumus vertiname pagal jų sunkumą ir realų poveikį:
Atlygio dydį nustatome savo nuožiūra – pagal realų poveikį, pranešimo kokybę ir tai, ar apie pažeidžiamumą jau buvo pranešta.
Kaip pranešti
Radę pažeidžiamumą, patenkantį į taikymo sritį, rašykite mums:
Pranešime nurodykite:
- Aiškų pažeidžiamumo aprašymą.
- Žingsnius, kaip jį atkartoti.
- Ekrano nuotraukas arba veikiantį pavyzdį, jei turite.
Gauname daug pranešimų, tarp jų – nemažai sugeneruotų dirbtinio intelekto įrankiais ir niekieno nepatikrintų. Todėl fiksuoto atsakymo termino negarantuojame, o į pranešimus, kurie atrodo sugeneruoti ir nepatikrinti, neatsakome. Prieš siųsdami radinį patikrinkite jį patys – kitaip jis nebus nagrinėjamas.
Apie pagrįstų radinių eigą informuosime. Dėkojame, kad padedate išlaikyti PDVS saugų.