الإبلاغ عن الثغرات الأمنية

• يجب تقديم التقارير باللغة الإنجليزية.
• يجب توخي الحذر فيما يتعلق بالبيانات الشخصية وعدم إستهداف أطراف ثالثة عن قصد أو القيام بهجمات الهندسة الاجتماعية أو هجمات حجب الخدمة أو التأثير على أي من ممتلكات فودافون، أو إرسال بريد مزعج أو التسبب في إزعاج المستخدمين الآخرين.
• يجب تقديم إثبات فني أو توفير معلومات كافية لتمكين إعادة تجربة الثغرة الأمنية، بحيث يمكن التحقق منها، وتحديد الحلول الممكنة. عادةً ما يكفي تحديد النظام المستهدف ووصف الثغرة الأمنية والخطوات العملية المنفّذة لاستغلالها، وقد تكون هناك حاجة إلى مزيد من التفاصيل والمعلومات في حالة كانت الثغرات أكثر تعقيدًا.
• عدم التسبب في تعطيل أية أنظمة من خلال إساءة استخدام الثغرات المكتشفة.
• عدم مشاركة المعلومات حول الثغرة الأمنية مع الآخرين حتى يتم حلها.
• تقديم ثغرة أمنية واحدة لكل تقرير، إلا إذا كان استغلال الثغرة الواحدة يتطلب الإفصاح عن مجموعة من الثغرات.

• التعامل مع التقارير المقدّمة بسرية وعدم مشاركة التفاصيل الشخصية لمكتشف الثغرة مع أطراف ثالثة بدون الحصول على موافقتهم ما لم يشترط ذلك للامتثال للالتزامات القانونية.
• معالجة جميع التقارير المقدمة في أسرع وقت ممكن.

عند الإبلاغ عن الثغرات الأمنية، يرجى مراعاة التالي:

1. سيناريو الهجوم / إمكانية الاستغلال
2. التأثير الأمني ​​للثغرة

تعتبر الثغرات التالية خارج النطاق:

• Clickjacking on pages with no sensitive actions
• Cross-Site Request Forgery (CSRF) on unauthenticated forms or forms with no sensitive actions
• Attacks requiring MITM or physical access to a user’s device.
• Previously known vulnerable libraries without a working Proof of Concept.
• Comma Separated Values (CSV) injection without demonstrating a vulnerability.
• Missing best practices in SSL/TLS configuration.
• Any activity that could lead to the disruption of our service (DoS).
• Content spoofing and text injection issues without showing an attack vector/without being able to modify HTML/CSS
• Rate limiting or brute force issues on non-authentication endpoints
• Missing best practices in Content Security Policy.
• Missing HttpOnly or Secure flags on cookies
• Missing email best practices (Invalid, incomplete or missing SPF/DKIM/DMARC records, etc.)
• Vulnerabilities only affecting users of outdated or unpatched browsers
• Software version disclosure / Banner identification issues / Descriptive error messages or headers (e.g. stack traces, application or server errors).
• Tabnabbing
• Open redirect – unless an additional security impact can be demonstrated
• Issues that require unlikely user interaction
• Static resources / public information “exposed”
• Physical attacks towards any Vodafone property

إذا كنت ترغب في الإبلاغ عن أي نوع آخر من المشاكل التي لا تتعلق بالأمن السيبراني، فيرجى الرجوع إلى صفحات الدعم أو الاتصال الخاصة بفودافون.

البرنامج مخصص للمدعوين فقط. إذا كنت ترغب بالحصول على دعوة، فيرجى إرسال إسمك الكامل وتاريخ الميلاد ورمز المستخدم الخاص بك في منصة HackerOne عبر البريد الإلكتروني:

security(at)vodafone(dot)om