Varnost

Prijavite varnostno ranljivost

Če ste odkrili šibkost v euphile.eu ali v enem od izdelkov platforme, nam to sporočite. Preberemo vsako prijavo, odgovorimo vsakemu prijavitelju in vas po odpravi težave navedemo z imenom.

Vaša prijava

Polja, označena z *, so obvezna. Če lahko, pišite v angleščini. Prijave beremo tudi v vseh jezikih EU.

Povzetek *

Ena vrstica, na primer: Stored XSS v polju z imenom projekta.

Izdelek *

Vaša ocena resnosti *

Vrsta težave *

Prizadet naslov ali komponenta *

URL, gostitelj, končna točka API, različica aplikacije ali datoteka, kjer se težava pojavi.

Opis *

Kaj je šibkost in kje je?

Koraki za ponovitev *

Oštevilčeni koraki, ki jim lahko sledimo, s pomembnimi zahtevami in odgovori.

Vpliv *

Kaj bi lahko napadalec z njo naredil in komu?

Vektor CVSS (neobvezno)

Na primer CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Povezava do dokaza koncepta (neobvezno)

Zasebna povezava do videa, posnetkov zaslona ali skripte. Ne vključujte podatkov drugih ljudi.

Predlagani popravek (neobvezno)

Računi in izvorni naslovi IP, uporabljeni pri testiranju (neobvezno)

To nam pomaga v naših dnevnikih ločiti vaše teste od napada.

O vas

Ime ali vzdevek (neobvezno)

E-poštni naslov *

Uporabili ga bomo samo za stik z vami glede te prijave.

Ko bo težava odpravljena, me z imenom navedite v zahvalah.

Ime za zahvalo (neobvezno)

Pustite prazno, če želite uporabiti zgornje ime.

Potrjujem seznanitev s spodnjimi pravili in njihovo upoštevanje pri testiranju. *

To spletno mesto ne hrani kopije vaše prijave. Ta gre neposredno naši varnostni ekipi, ki jo hrani le toliko časa, kolikor je potrebno za obravnavo težave in za navedbo vašega imena.

Pravila

Različica 1, velja od 17. oktober 2026.

Kaj lahko testirate

euphile.eu in vse storitve pod euphile.eu: aplikacije, skrbniške konzole in vmesniki API.
Deset izdelkov platforme, vključno z njihovimi namiznimi aplikacijami in dodatki, v najnovejši izdani različici.
Vsak drug sistem, ki ga upravljamo in ki hrani podatke strank.

Kaj je zunaj obsega

Storitve, ki jih upravljajo tretje osebe in jih mi le uporabljamo. Te prijavite njihovemu lastniku.
Napadi za zavrnitev storitve, obremenitveni testi in vsak test, ki upočasni ali prekine storitev za druge.
Socialni inženiring, phishing in fizični napadi na naše zaposlene, stranke ali pisarne.
Rezultati samodejnih skenerjev brez dokazanega, izkoristljivega vpliva.
Manjkajoče varnostne glave, zastavice piškotkov ali zapisi za overjanje e-pošte, razen če pokažete konkreten napad.
Self-XSS, clickjacking na straneh brez občutljivega dejanja in razkritje različic programske opreme.
Pozivi, zaradi katerih model AI reče nekaj neželenega, razen če prestopijo varnostno mejo: podatki druge stranke, skrivnost ali dejanje, ki ga uporabnik ne sme izvesti.

Kako testirati

Uporabljajte samo račune, ki so vaši, ali račune, za katere vam je lastnik dal pisno dovoljenje.
Če pridete do podatkov, ki niso vaši, prenehajte. Ne kopirajte jih, ne hranite in ne delite ter to navedite v prijavi.
Naredite samo toliko, kolikor je potrebno za dokaz težave: brez sprememb ali brisanja, brez ohranjanja dostopa in brez premikanja v druge sisteme.
Samodejni promet naj ostane pod 5 zahtevami na sekundo.
Podrobnosti ne delite z nikomer, dokler ne izdamo popravka ali dokler ne mine 90 dni od vaše prijave, kar nastopi prej. Skupaj se lahko dogovorimo za drug datum.
Ne zahtevajte plačila v zameno za nerazkritje. To je izsiljevanje, ne raziskovanje.

K čemu se zavezujemo

Prejem potrdimo v 2 delovnih dneh.
Prvo oceno, vključno z našo stopnjo resnosti, pošljemo v 5 delovnih dneh.
O napredku vas obveščamo vsaj enkrat na mesec, dokler težava ni rešena.
Sporočimo vam, ko je popravek izdan, in se z vami dogovorimo, kdaj bo bilten objavljen.
Z vašim soglasjem vas z imenom navedemo v biltenu in v zahvalah.

Varni pristan (safe harbour)

Če ravnate v dobri veri in upoštevate ta pravila, vaše raziskovanje štejemo za odobreno. Zaradi njega ne bomo sprožili pravnih postopkov proti vam in ne bomo podpirali nikogar, ki bi to storil.
Če tretja oseba proti vam ukrepa zaradi raziskovanja, ki je upoštevalo ta pravila, bomo dali vedeti, da je bilo vaše raziskovanje odobreno.
To velja za sisteme, ki so v naši lasti in jih upravljamo. Ne moremo odobriti testov na sistemih, ki pripadajo komu drugemu.

Nagrade

Z vašim soglasjem navedemo avtorja vsake veljavne prijave.
Za izvirno ugotovitev visoke ali kritične resnosti lahko ponudimo denarno nagrado. O tem, ali jo ponudimo, in o njeni višini odločimo na podlagi vpliva in kakovosti prijave. Nagrada ni zagotovljena.
Ko več ljudi prijavi isto težavo, šteje prva popolna prijava.
Nagrade ne moremo izplačati, kadar to prepoveduje zakon, ali komur koli, ki je kršil ta pravila.