Помогите сделать NPV безопаснее
Открытая программа вознаграждений за уязвимости. Сообщите о найденной проблеме и получите вознаграждение по одному из четырёх уровней. Прозрачные правила и безопасная гавань для добросовестных исследователей.
Критическая
50 000 – 150 000 ₽Полная компрометация сервиса, массовый доступ к ключам или данным пользователей, удалённое выполнение кода на продакшене.Высокая
15 000 – 50 000 ₽Частичный контроль сервиса, доступ к данным значимой группы пользователей, обход аутентификации или биллинга.Средняя
5 000 – 15 000 ₽Локальный обход проверок, IDOR с ограниченным эффектом, утечки конфигов без чувствительных данных.Низкая
1 000 – 5 000 ₽Минорные проблемы с ограниченным воздействием, информационные утечки без PII, маловероятная или теоретическая эксплуатация без реального риска.
Что принимаем,
а что нет
В скоуп входит вся наша инфраструктура: лендинг, бот, личный кабинет, API, серверы NPV, биллинг.
В скоупе
- Обход аутентификации, кража или фиксация сессий, IDOR
- Утечки токенов, ключей подписок и PII
- RCE / SQLi / command injection на нашей инфраструктуре
- Несанкционированный доступ к базам, внутренним сервисам, конфигам
- Ошибки биллинга и платежей через WATA, Heleket, Telegram Stars
- Server-Side Request Forgery, обход CSRF/CORS-защит
Вне скоупа
- DDoS, brute-force, любые попытки нарушить доступность
- Социальная инженерия и фишинг сотрудников или пользователей
- Self-XSS, clickjacking без реального воздействия
- Отсутствие security-headers и SPF/DKIM без PoC эксплуатации
- Уязвимости сторонних клиентов (Rabbit Hole, FlClashX, Happ), сообщайте их разработчикам
- 404/5xx ошибки, опечатки, проблемы кэширования
- Спам в формы и контактные поля
Три шага
до выплаты
Отправьте отчёт
На security@npv.tg с темой
[Bug Bounty]. Опишите уязвимость, шаги воспроизведения, оцените воздействие. Прикрепите PoC или видео.Подтверждение и триаж
Воспроизведём, подтвердим уровень, договоримся о деталях выплаты. На вопросы отвечаем в той же ветке переписки.
Исправление и выплата
Закрываем уязвимость, переводим вознаграждение. Возможные способы: карта РФ, СБП, USDT.
Безопасная гавань для исследователей
- Мы не возражаем против добросовестных исследований уязвимостей нашей инфраструктуры и не подаём в суд за тестирование в рамках этой программы.
- Не нарушайте доступность сервиса и не тестируйте на аккаунтах других пользователей. Используйте свои тестовые аккаунты.
- Не раскрывайте уязвимость публично до того, как мы её исправим. После фикса мы согласуем с Вами текст и сроки раскрытия.
- Минимизируйте сбор данных при демонстрации, достаточно показать факт уязвимости.
- При сомнениях спросите перед тестом: security@npv.tg.
Исследователи,
которые помогли
Спасибо тем, кто нас проверяет
Здесь исследователи, чьи отчёты мы подтвердили и закрыли. Подробности находок раскрываем только по согласованию с автором.
- #1wlp3s0
Нашли уязвимость?
Напишите на security@npv.tg, рассмотрим в порядке поступления.