Fehler finden,
Prämie erhalten.
Helfen Sie uns, Play Digital Signage sicher zu halten. Wir belohnen Sicherheitsforscher, die Sicherheitslücken verantwortungsvoll melden.
Prämien nach
Schweregrad.
Je mehr Schaden ein Fehler anrichten könnte, desto höher die Prämie.
Bis zu 1.000 $
KritischZum Beispiel der Zugriff auf einen kritischen Server unserer Infrastruktur.
Rund 500 $
MittelFehler mittleren Schweregrads.
Rund 150 $
NiedrigFehler niedrigen Schweregrads.
So funktioniert
es.
Wir wollen objektiv sein, harte Arbeit belohnen und die Menschen motivieren, die unseren Dienst sicherer machen.
Melden Sie den Fehler
Beschreiben Sie, wie sich der Fehler für einen echten Angriff nutzen ließe und wie Sie ihn beheben würden.
Bericht sendenWir beheben ihn und bewerten den Schweregrad
Wir beheben den Fehler zuerst und beurteilen dann, wie schwer er wiegt.
Sie erhalten ein Prämienangebot
Wir melden uns mit einem Vorschlag für die Prämie. Sie finden, wir haben den Schweregrad falsch eingeschätzt? Sagen Sie es uns, mit weiteren Beispielen, wie sich der Fehler ausnutzen lässt.
Was wir nicht
prämieren.
Das sind bekannte Probleme oder Themen außerhalb des Geltungsbereichs. Manche können wir nicht beheben, ohne die Kompatibilität zu brechen.
DDoS, Brute Force und Phishing
Denial-of-Service- und Brute-Force-Angriffe liegen außerhalb des Geltungsbereichs, ebenso Social Engineering gegen unsere Nutzer (Phishing, Vishing, Smishing).
Skripte in der Webvorschau
Im iframe der Webvorschau können Skripte laufen, damit sich externe Widgets einbetten lassen. Er läuft auf einer separaten Domain, um Cookie-Diebstahl zu verhindern. Wir prämieren nur einen funktionierenden Angriff mit Demonstration und Lösung, nicht z. B. eine gefälschte Passwortabfrage.
EXIF-Daten in Uploads
EXIF-Daten werden aus hochgeladenen Dateien nicht entfernt. Uploads sind überwiegend privat, daher ist das keine Sicherheitslücke.
Proxy-Weiterleitungen
proxy.playsignage.com lässt sich dazu bringen, auf eine andere Domain weiterzuleiten. Das ist uns bekannt, und wir können es nicht beheben, ohne die Kompatibilität zu brechen.
Öffentlicher Wiedergabelisten-Endpunkt
Wer die ID einer Wiedergabeliste kennt, kann sie über die API lesen. Das ist Absicht, damit sich Vorschaulinks teilen lassen.
Gesperrte Objekte
Die Objektsperre wird nur im Editor geprüft, die API nimmt Änderungen an gesperrten Elementen also weiterhin an. Zugriff auf eine Wiedergabeliste haben nur vertrauenswürdige Teammitglieder, das Risiko ist daher vernachlässigbar.
Sicherheitslücke gefunden?
Lesen Sie unsere Regeln für Meldungen und senden Sie uns dann Ihren Bericht.