Yandex.ru платит за уязвимости

[fraIzer]

Сообщение от M_script

Яндекс хотел как лучше, а получилось как всегда

Благими намерениями как известно...

[M@ZAX@KEP]

Спалю по теме выплат... https://twitter.com/cyberpunkych/sta...13795914817537

[fraIzer]

Сообщение от M@ZAX@KEP

Спалю по теме выплат... https://twitter.com/cyberpunkych/sta...13795914817537

Мулиёны

[d0znpp]

Сообщение от Beched

Срок прошёл, не оплатили, запросили ещё скан второй страницы паспорта.

ну это нормально, зато всего 1 раз отправишь и потом уже не надо будет на каждую багу пересылать
в гугле тоже муторно довольно по-началу

[Matthew]

меня уже 16 дней игнорят. Причем багу уже закрыли. Подозреваю что скажут что у них не воспроизводится баг, ибо они так уже поступали

[12309]

> Подозреваю что скажут что у них не воспроизводится баг, ибо они так уже поступали
ну и зачем тогда нужны эти ваши белые шапки?

[M_script]

http://company.yandex.ru/security/policy.xml

Лицо, обнаружившее уязвимость и сообщившее о ней Яндексу (с помощью заполненной формы или письма на адрес security-report@yandex-team.ru), обязуется не раскрывать информации об уязвимости третьим сторонам в течение 90 дней с момента отправки сообщения в Яндекс. В том числе оно обязуется не публиковать эту информацию в открытых или закрытых источниках. В течение этих 90 дней лицо также обязуется приложить разумные усилия для того, чтобы информация об уязвимости не стала доступна третьим сторонам.

Яндекс, в свою очередь, обязуется проинформировать лицо о получении сообщения об уязвимости в течение пяти рабочих дней.

[Beched]

http://download.yandex.ru/company/Yandex_Bug_Bounty_Terms_Conditions.pdf

7.4.Организатор сообщает Участнику о результатах оценки найденной уязвимости и о
принятом Комиссией решении не позднее 10 (десяти) рабочих дней, следующих за
месяцем, в котором Участник сообщил Организатору об обнаруженной уязвимости.

Этим и пользуются. Хотя в случае Matthew видимо и этот срок уже прошёл.
Ещё там не почту они читают, а парсят в тикеты, поэтому мои репорты вообще не читались, кроме первого, потому что им один тикет присвоился, и он был закрыт. Ибо слал с гмыла, под одной темой.

Первый блин комом %) Надеюсь, устаканится. Хотя конечно много недовольных уже из-за непрозрачности.

[M_script]

"10 (десяти) рабочих дней, следующих за месяцем" - значит, если сообщил 1 сентября, дать ответ должны до 14 октября?

[Beched]

Угу, точняк, рабочих. Значит ещё не просрочено формально у Matthew =)