Kiitos, että olet mukana haavoittuvuustietojen vastuullisen ilmoittamisen ohjelmassamme. 

Me Catawikillä pidämme järjestelmiemme turvallisuutta tärkeimpänä prioriteettina. Kun kehitämme ja tarjoamme palveluitamme, turvallisuus on avainasemassa.

Löydät alta ohjeistukset laadukkaan virheraportin tekemiseen Catawikissä, joiden avulla voimme puuttua ongelmiin tehokkaasti.

Hallitsemiamme resursseja ovat https://www.catawiki.com tai sivut, jotka on johdettu sivustolle https://www.catawiki.com kirjautumalla. Tähän EI sisälly kolmansien osapuolien sovelluksia, joita käytämme, mutta joita emme suoraan hallinnoi. Esimerkiksi haavoittuvuudet blogi-, ura- tai markkinointisivustoilla, joita ei isännöidä Catawiki-verkkotunnuksella, GCP:llä, tai pilvialustalla.

Mitä toivomme sinun tekevän

• Ilmoita sivustoamme koskevan haavoittuvuuden CVE-pisteytys (jos sellainen on) ja miten sitä voidaan käyttää hyväksi.
• Lisää raporttiin videoita ja valokuvia; arvostamme niitä suuresti!
• Lähetä esimerkkejä siitä, miten haitallisia tiedostoja voidaan ladata alustallemme.
• Lähetä raportteja haavoittuvista verkkoporteista tai -palveluista.
• Lähetä haavoittuvuuksia, joissa validointi, CSRF tai muu, epäonnistuu mahdollistaen suojausasetusten ohittamisen tai kiertämisen.

Mitä sinun ei tulisi tehdä

• Älä lähetä haavoittuvuuksia, jotka on ilmoitettu kolmansien osapuolien työkaluilla tai skannereilla ilman todisteita konseptista, joka johtaa hyväksikäyttöön.
• Älä lähetä salasanahaavoittuvuuksia, joita voidaan käyttää väkisin, sanakirjahyökkäyksillä tai muuten arvaamalla salasanoja.
• Älä tee DDoS- tai muita resursseja tyhjentäviä hyökkäyksiä.
• Älä tee roskapostihyökkäyksiä, ellei haavoittuvuus koske roskapostin helppoa lähettämistä.
• Älä lähetä tilin vahvistamiseen tai salasanakäytäntöön liittyviä haavoittuvuuksia.
• Älä lähetä Self-XSS-hyökkäykseen liittyviä haavoittuvuuksia.
• Älä lähetä haavoittuvuuksia, jotka liittyvät puuttuvaan Certificate Authority Authorization (CAA) -tietueeseen Catawikin verkkotunnukselle.

Mikäli et noudata yllä olevia ohjeita, Catawiki pidättää oikeuden ryhtyä oikeustoimiin sinua vastaan. Nämä käytännöt koskien tietoturvahaavoittuvuuksien ilmoittamista Catawikissä ovat Alankomaiden lain alaisia.

Älä myöskään käytä BugCrowd-alustaa mihinkään kysymyksiin tai valituksiin, jotka liittyvät Catawikin palveluihin tai alustan käyttäjämateriaaliin. Mikäli sinulla on kysymyksiä tai valituksia, jotka eivät liity järjestelmiemme tietoturvahaavoittuvuuteen, tutustu ohjekeskukseemme tarkemmin ja ota tarvittaessa yhteyttä asiakastukitiimeihimme.

Osallistuaksesi haavoittuvuustietojen vastuullisen ilmoittamisen ohjelmaamme, ole hyvä ja kirjaudu sisään tai rekisteröi hakkeritili BugCrowdissa.

Tietosuoja

Haavoittuvuustietojen vastuullisen ilmoittamisen ohjelmaan sovelletaan Catawikin tietosuojakäytäntöjä. Huomaa kuitenkin, että tekemiäsi ilmoituksia varten käsitellään vain rajoitetusti henkilötietoja. Catawiki käyttää BugCrowdia tukeakseen haavoittuvuuksien raportointia, minkä voit tehdä käyttämällä BugCrowd-tunnuksiasi. Mikäli sinulla on tili, Catawiki näkee käyttäjänimesi, mutta ei muita tiliisi linkitettyjä henkilötietoja. Kaikki haavoittuvuusraporttiin sisältyvät tiedot käsitellään sisäisessä tikettijärjestelmässämme, ja tiedot ovat turvallisuustiimimme ja muiden asiaankuuluvan teknisen henkilöstön käytettävissä.