A4 Bug Bounty

• Все отчеты об ошибках и багах следует отправлять с формы на сайте.
• Все отчеты об ошибках и багах оцениваются A4 и выплачиваются в зависимости от серьезности уязвимости.
• Для получения выплаты за ошибки и баги Вам необходимо иметь аккаунт A4 и привязать адрес электронной почты, который Вы использовали для сообщения об ошибках. Не забудьте указать в отчетах UID Вашего аккаунта A4. Вознаграждения будут поступать в USDT и распределяться на указанный Вами аккаунт.
• Запрос на выплату в обмен на информацию об уязвимости приведет к немедленной дисквалификации вознаграждений.
• Пожалуйста, предоставьте как можно более подробный отчет, чтобы мы могли воспроизвести ваши выводы. В противном случае, возможно, Вы упустите награды.
• За комбинированные уязвимости, которые можно использовать, мы платим только за самый высокий уровень уязвимостей. Для тех же уязвимостей мы заплатим только за первую, которая содержит достаточно подробностей в отчете.
• A4 оставляет за собой право отменить или изменить правила вознаграждения за ошибки по своему усмотрению.

Мы не рассматриваем и не принимаем как уязвимости:

• Сообщения от сканеров безопасности и других средств автоматического сканирования.
• Сообщения без демонстрации реального существования уязвимости.
• Сообщения без указания на достоверно возможные негативные последствия.
• Сообщения об отсутствии заголовков безопасности.
• Атаки, требующие MITM или физический доступ к устройству пользователя.
• Уязвимости, которые затрагивают только пользователей устаревших или уязвимых браузеров и платформ.
• Уязвимости, которыми можно навредить только самому себе.
• Уязвимости про которые нам уже известно.

Критическая уязвимость

• Доступ к нескольким устройствам во внутренней сети.
• Получение доступа суперадминистратора к основной серверной части, утечку основных данных предприятия и нанесение серьезного ущерба.
• Переполнение смарт-контрактов и уязвимость условной конкуренции.

Высокая уязвимость

• Получение доступа к системе (получение оболочки, выполнение команд и т.д.).
• Внедрение системного SQL (снижение уровня уязвимости бэкэнда, приоритезация отправки пакетов по мере необходимости).
• Получите несанкционированный доступ к конфиденциальной информации, включая, помимо прочего, прямой доступ к фону управления путем обхода аутентификации, взлома паролей бэкэнда, получения SSRF конфиденциальной информации во внутренней сети и т.д.
• Произвольное чтение документа.
• XXE уязвимость, которая может получить доступ к любой информации.
• Несанкционированная операция включает в себя деньги, обход платежной логики (необходимо успешно использовать).
• Серьезные логические дефекты конструкции и технологические дефекты. Это включает, помимо прочего, любую уязвимость входа пользователя, уязвимость пакетного изменения пароля учетной записи, логическую уязвимость, затрагивающую основной бизнес предприятия, и т.д., За исключением взрыва кода проверки.
• Другие уязвимости, влияющие на пользователей в больших масштабах. Это включает, но не ограничивается, XSS хранилища, которое может автоматически распространяться на критические страницы. XSS-хранилище может получить доступ к информации аутентификации администратора и может быть успешно использовано.
• Утечка большого количества исходного кода.
• Разрешение контроля дефектов в смарт-контракте.

Средняя уязвимость

• Уязвимость, которая может затронуть пользователей посредством взаимодействия. Он включает, но не ограничивается, XSS хранилища на общих страницах, CSRF, связанный с основным бизнесом, и т.д.
• Общая несанкционированная работа. Он включает, помимо прочего, изменение пользовательских данных и выполнение пользовательских операций в обход ограничений.
• Уязвимости, связанные с отказом в обслуживании. Он включает, но не ограничивается, уязвимости удаленного отказа в обслуживании, вызванные отказом в обслуживании веб-приложений.
• Уязвимости, вызванные успешным взрывом с помощью чувствительной к системе операции, такой как доступ к логину и паролю учетной записи и т.д., Из-за логических дефектов кода проверки.
• Утечка локально хранимой конфиденциальной информации о ключе аутентификации, которую необходимо эффективно использовать.

Низкая уязвимость

• Локальные уязвимости отказа в обслуживании. Он включает, помимо прочего, отказ в обслуживании локального клиента (анализ форматов файлов, сбои, генерируемые сетевыми протоколами), проблемы, вызванные раскрытием разрешений компонентов Android, общий доступ к приложениям и т.д.
• Утечка общей информации. Это включает, помимо прочего, обход веб-пути, обход системного пути, просмотр каталогов и т.д.
• Отраженные XSS атаки (включая DOM XSS / Flash XSS).
• Общий CSRF.
• Уязвимость пропуска URL.
• SMS-бомбы, почтовые бомбы (каждая система принимает только один тип этой уязвимости).
• Невозможно доказать, что другие менее опасные уязвимости опасны (например, уязвимость CORS, которая не может получить доступ к конфиденциальной информации).
• Нет возвращаемого значения и нет глубокого использования успешного SSRF.