Security Bug Bounty Program

Champ d'application du produit

Ce programme accepte uniquement les rapports de vulnérabilités liés aux produits et services Web de Synology. Les rapports de vulnérabilités qui ne relèvent pas du champ d'application du programme ne donnent généralement pas droit à des récompenses. Cependant, les rapports de vulnérabilités critiques qui ne sont pas concernés sont parfois acceptés en fonction de la situation.

Systèmes d'exploitation

Récompenses jusqu'à

30 000 dollars américains

Comprend Synology DiskStation Manager, Synology Router Manager et Synology BeeStation.

Logiciels et services cloud C2

Récompenses jusqu'à

10 000 dollars américains

Inclut les paquets logiciels développés par Synology, les applications mobiles associées et les services cloud C2.

Services Web

Récompenses jusqu'à

5 000 dollars américains

Inclut tous les principaux services Web Synology.

Détails de la récompense

Critères d'éligibilité aux récompenses

Fournissez toutes les informations dont nous avons besoin pour reproduire les problèmes signalés. La taille de chaque récompense dépend de la gravité de la vulnérabilité signalée et de la catégorie de produit concernée.

Pour bénéficier de récompenses financières, les rapports doivent répondre aux critères suivants :

Vous êtes le premier chercheur à signaler cette vulnérabilité.
La vulnérabilité signalée est confirmée comme étant vérifiable, réplicable et un problème de sécurité valide.
Votre rapport est conforme aux conditions et réglementations du programme de primes

Signalement des bugs de sécurité

Si vous pensez avoir identifié une vulnérabilité, suivez les étapes ci-dessous :

Étape 1

Contactez-nous via le formulaire de contact du programme de primes de sécurité.

Étape 2

Utilisez cette clé PGP pour chiffrer vos informations lors de l'envoi de rapports de bugs à Synology.

Étape 3

Incluez une démonstration de faisabilité détaillée et assurez-vous que les problèmes signalés peuvent être reproduits.

Étape 4

Donnez une description succincte. Par exemple, une courte démonstration de faisabilité est plus appréciée qu'une vidéo expliquant les conséquences d'un problème SSRF.

Vos responsabilités et celles de notre société

Votre rapport

Pour réduire notre temps de traitement, un bon rapport de vulnérabilités doit :

contenir une description détaillée et claire en anglais de la façon de reproduire la vulnérabilité ;
montrer comment la vulnérabilité affecte les produits ou services Web Synology et décrire les versions et plateformes concernées ;
indiquer les dommages potentiels causés par la vulnérabilité signalée.

Notre réponse

L'équipe de sécurité de Synology répondra à votre rapport dans un délai de 7 jours et mettra régulièrement à jour l'état et corrigera la vulnérabilité dès que possible, en fonction de la gravité de la menace existante.

Si votre rapport de vulnérabilités vous donne droit à une récompense financière, votre nom est inscrit sur la page Conseils de sécurité sur les produits Synology de notre site Web officiel pour vous remercier.

Ce processus prend au moins 90 jours. Une fois le processus terminé, votre récompense vous est transférée.

Remarques :Synology se réserve le droit de modifier ou d'annuler ce programme, notamment ses politiques, à tout moment et sans préavis.

Systèmes d'exploitation

Récompense	Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 30 000 dollars américains.*
Produits concernés	Seuls les rapports sur les versions officiellement publiées sont acceptés. DiskStation Manager (DSM) DSM 7 (dernière version) Synology Router Manager (SRM) SRM 1.3 (dernière version) Firmware Synology Camera Micrologiciel 1.1 (dernière version) Synology BeeStation OS BeeStation 1.0 (dernière version)
Réglementations et restrictions	Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises. Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent : des attaques DoS (déni de service) visant les serveurs de Synology ou les serveurs des utilisateurs ; des tests de vulnérabilité qui ont une incidence néfaste sur les serveurs de Synology ou les données des utilisateurs ; des attaques physiques ou manipulations sociales ; la divulgation d'informations relatives à des bugs sans notre approbation ; des vulnérabilités non critiques sur des services ou produits obsolètes ; une vulnérabilité affectant uniquement des navigateurs obsolètes ; la plupart des attaques par force brute ; des attaques par script intersites XSS ou attaques Self XSS pris en charge ; des vulnérabilités qui concernent l'hameçonnage, la création de faux sites Web, ou des actes de fraude ; des rapports d'analyse de vulnérabilité de fraude qui ne détaillent pas les effets de la vulnérabilité ; des signes indiquant que les ports par défaut sont vulnérables, mais sans fournir de démonstration de faisabilité. Vulnérabilités théoriques sans preuve de concept concret (PoC) Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation Drapeaux de sécurité manquants dans les cookies Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.

Récompense

Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 30 000 dollars américains.*

Produits concernés

Seuls les rapports sur les versions officiellement publiées sont acceptés.

DiskStation Manager (DSM)

DSM 7 (dernière version)

Synology Router Manager (SRM)

SRM 1.3 (dernière version)

Firmware Synology Camera

Micrologiciel 1.1 (dernière version)

Synology BeeStation

OS BeeStation 1.0 (dernière version)

Réglementations et restrictions

Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises.

Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent :

des attaques DoS (déni de service) visant les serveurs de Synology ou les serveurs des utilisateurs ;
des tests de vulnérabilité qui ont une incidence néfaste sur les serveurs de Synology ou les données des utilisateurs ;
des attaques physiques ou manipulations sociales ;
la divulgation d'informations relatives à des bugs sans notre approbation ;
des vulnérabilités non critiques sur des services ou produits obsolètes ;
une vulnérabilité affectant uniquement des navigateurs obsolètes ;
la plupart des attaques par force brute ;
des attaques par script intersites XSS ou attaques Self XSS pris en charge ;
des vulnérabilités qui concernent l'hameçonnage, la création de faux sites Web, ou des actes de fraude ;
des rapports d'analyse de vulnérabilité de fraude qui ne détaillent pas les effets de la vulnérabilité ;
des signes indiquant que les ports par défaut sont vulnérables, mais sans fournir de démonstration de faisabilité.
Vulnérabilités théoriques sans preuve de concept concret (PoC)
Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative
En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation
Drapeaux de sécurité manquants dans les cookies
Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.

*Voir la page des détails des récompenses sur la page web du programme de bugs de sécurité pour plus de détails.
**La récompense maximale pour les vulnérabilités dans SRM_LAN est de 5 000 $.
***La récompense maximale pour les vulnérabilités dans le firmware de la caméra est de 10 000 $.

Logiciels et services cloud C2

Récompense	Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 10 000 dollars américains.*
Produits concernés	Seuls les rapports sur les versions officiellement publiées sont acceptés. Paquets Paquets logiciels développés par Synology Clients pour poste de travail Applications Windows, macOS et Linux développées par Synology Applications mobiles Applications mobiles développées par Synology pour Android et iOS Compte Synology Domaines .account.synology.com Domaines .identity.synology.com Services C2 *Domaines c2.synology.com
Réglementations et restrictions	Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises. Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent : Attaques DoS (Denial of Service) sur les serveurs de Synology ou des utilisateurs Tests de vulnérabilité nuisibles aux serveurs ou aux données de Synology ou des utilisateurs Attaques physiques ou ingénierie sociale Divulgation d'informations sur les bogues avant l'approbation par Synology Vulnérabilités non critiques dans des services ou produits obsolètes Vulnérabilités affectant uniquement les navigateurs web obsolètes La plupart des types d'attaques par force brute Attaques XSS reflétées ou attaques XSS auto-infligées Vulnérabilités impliquant le phishing, la création de faux sites web, ou la fraude Rapports de scan de vulnérabilité qui ne détaillent pas les effets de la vulnérabilité Indications que les ports par défaut sont vulnérables, mais sans fournir de PoC Vulnérabilités théoriques sans preuve de concept concret (PoC) Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation Drapeaux de sécurité manquants dans les cookies Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.

Récompense

Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 10 000 dollars américains.*

Produits concernés

Seuls les rapports sur les versions officiellement publiées sont acceptés.

Paquets

Paquets logiciels développés par Synology

Clients pour poste de travail

Applications Windows, macOS et Linux développées par Synology

Applications mobiles

Applications mobiles développées par Synology pour Android et iOS

Compte Synology

*Domaines .account.synology.com
*Domaines .identity.synology.com

Services C2

*Domaines c2.synology.com

Réglementations et restrictions

Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent :

Attaques DoS (Denial of Service) sur les serveurs de Synology ou des utilisateurs
Tests de vulnérabilité nuisibles aux serveurs ou aux données de Synology ou des utilisateurs
Attaques physiques ou ingénierie sociale
Divulgation d'informations sur les bogues avant l'approbation par Synology
Vulnérabilités non critiques dans des services ou produits obsolètes
Vulnérabilités affectant uniquement les navigateurs web obsolètes
La plupart des types d'attaques par force brute
Attaques XSS reflétées ou attaques XSS auto-infligées
Vulnérabilités impliquant le phishing, la création de faux sites web, ou la fraude
Rapports de scan de vulnérabilité qui ne détaillent pas les effets de la vulnérabilité
Indications que les ports par défaut sont vulnérables, mais sans fournir de PoC
Vulnérabilités théoriques sans preuve de concept concret (PoC)
Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative
En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation
Drapeaux de sécurité manquants dans les cookies
Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.

*Voir la page des détails de la récompense sur la page web du programme de sécurité pour plus de détails.

Services Web

Récompense	Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 5 000 dollars américains.*
Produits concernés	Les domaines suivants (y compris les sous-domaines) sont concernés : *.synology.com Les domaines suivants (y compris les sous-domaines) ne sont pas concernés : openstack-ci-logs.synology.com, router.synology.com Synology se réserve le droit de modifier cette liste à tout moment et sans préavis.
Réglementations et restrictions	Ce programme est strictement limité aux failles de sécurité détectées dans les produits et services Synology. Les actions susceptibles d'endommager ou d'avoir un impact néfaste sur les serveurs ou les données Synology sont strictement interdites. Les tests de vulnérabilité ne doivent pas enfreindre les lois locales ou taïwanaises. Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent : Attaques DoS (Denial of Service) sur les serveurs de Synology ou des utilisateurs Tests de vulnérabilité nuisibles aux serveurs ou aux données de Synology ou des utilisateurs Attaques physiques ou ingénierie sociale Divulgation d'informations sur les bogues avant l'approbation par Synology Vulnérabilités non critiques dans des services ou produits obsolètes Vulnérabilités affectant uniquement les navigateurs web obsolètes La plupart des types d'attaques par force brute Attaques XSS reflétées ou attaques XSS auto-infligées Vulnérabilités impliquant le phishing, la création de faux sites web, ou la fraude Rapports de scan de vulnérabilité qui ne détaillent pas les effets de la vulnérabilité Indications que les ports par défaut sont vulnérables, mais sans fournir de PoC Vulnérabilités théoriques sans preuve de concept concret (PoC) Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation Drapeaux de sécurité manquants dans les cookies Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.

Récompense

Les rapports qualifiés sont éligibles pour une récompense pouvant atteindre 5 000 dollars américains.*

Produits concernés

Les domaines suivants (y compris les sous-domaines) sont concernés :

*.synology.com

Les domaines suivants (y compris les sous-domaines) ne sont pas concernés :

openstack-ci-logs.synology.com, router.synology.com

Synology se réserve le droit de modifier cette liste à tout moment et sans préavis.

Réglementations et restrictions

Les rapports de vulnérabilités ne sont pas acceptés dans le cadre du programme s'ils décrivent ou concernent :

Attaques DoS (Denial of Service) sur les serveurs de Synology ou des utilisateurs
Tests de vulnérabilité nuisibles aux serveurs ou aux données de Synology ou des utilisateurs
Attaques physiques ou ingénierie sociale
Divulgation d'informations sur les bogues avant l'approbation par Synology
Vulnérabilités non critiques dans des services ou produits obsolètes
Vulnérabilités affectant uniquement les navigateurs web obsolètes
La plupart des types d'attaques par force brute
Attaques XSS reflétées ou attaques XSS auto-infligées
Vulnérabilités impliquant le phishing, la création de faux sites web, ou la fraude
Rapports de scan de vulnérabilité qui ne détaillent pas les effets de la vulnérabilité
Indications que les ports par défaut sont vulnérables, mais sans fournir de PoC
Vulnérabilités théoriques sans preuve de concept concret (PoC)
Les redirections ouvertes seules sont généralement considérées comme informatives et ne donnent pas droit à des récompenses à moins qu'elles ne contribuent à une vulnérabilité plus significative
En-têtes de sécurité manquants qui ne mènent pas directement à une exploitation
Drapeaux de sécurité manquants dans les cookies
Énumération des utilisateurs. Les rapports décrivant l'énumération des utilisateurs ne sont pas dans le champ d'application à moins que vous ne puissiez démontrer que nous n'avons pas de limites de taux en place pour protéger nos utilisateurs.

*Voir la page des détails de la récompense sur la page web du programme de sécurité pour plus de détails.

Détails de la récompense

Cette page est conçue pour aider les chercheurs à comprendre les récompenses maximales potentielles pour des types spécifiques de vulnérabilités et pour mettre en évidence les types de vulnérabilités que Synology valorise le plus. Nous apprécions vos contributions et nous nous engageons à récompenser équitablement les recherches de sécurité significatives.

Les récompenses dans le tableau montrent le maximum possible pour chaque catégorie, mais chaque rapport qualifié n'est pas garanti de recevoir le montant indiqué.*

Critique
	Systèmes d'exploitation	Services logiciels et C2 cloud	Services web
Zero-click pre-auth RCE	30,000 $	10,000 $	5,000 $
Zero-click pre-auth arbitrary file r/w	9,000 $	4,600 $	2,400 $

Important
	Systèmes d'exploitation	Logiciels et services C2 Cloud	Services web
1-click pre-auth RCE	8,000 $	4,000 $	2,000 $
Zero-click normal-user-auth RCE	7,500 $	3,900 $	1,900 $
Zero-click normal-user-auth arbitrary file r/w	6,500 $	3,400 $	1,700 $
Zero-click pre-auth RCE (AC:H)	6,500 $	3,400 $	1,700 $
1-click pre-auth RCE (AC:H)	5,000 $	2,500 $	1,325 $
pre-auth SQL injection	3,800 $	1,950 $	1,025 $
1-click normal-user-auth RCE (AC:H)	2,600 $	1,350 $	725 $
pre-auth stored XSS	2,600 $	1,350 $	725 $

Modéré
	Systèmes d'exploitation	Logiciels et services C2 Cloud	Services web
normal-user-auth stored XSS	1,350 $	733 $	417 $
normal-user-auth SQL injection	1,200 $	607 $	353 $
admin-auth vulnerabilities	100 $	100 $	100 $

1. À partir du 1er octobre 2024, les récompenses pour les vulnérabilités d'authentification admin seront fixées à 100 USD.

Remarques :

Veuillez noter que bien que des directives pour les récompenses soient fournies, chaque rapport est traité individuellement et évalué minutieusement. L'évaluation prend en compte divers facteurs, y compris mais sans se limiter à la portée détaillée dans la grille des récompenses. Synology se réserve le droit d'interprétation finale des montants des récompenses.
Pour les questions classées comme étant de faible gravité ou les suggestions, seuls des remerciements seront fournis.

FAQ

Comment dois-je signaler une vulnérabilité ?Veuillez fournir un PoC (Proof of Concept) détaillé et vous assurer que les problèmes signalés peuvent être reproduits. Utilisez la clé de cryptage PGP offerte par Synology lorsque vous nous envoyez des rapports de bugs et ne divulguez pas les informations pertinentes à des tiers.Qui est chargé de déterminer si mon rapport de bogue est éligible à une récompense ?Tous les rapports de bugs sont examinés et évalués par l'équipe de sécurité de Synology, composée des analystes expérimentés en matière de sécurité de Synology.Quelles sont les conséquences si un bug est divulgué publiquement avant d'être corrigé ?Nous nous efforçons de répondre rapidement aux rapports de bugs et de les résoudre dans un délai raisonnable. Avant de divulguer publiquement les informations relatives aux bugs, merci de nous consulter à l'avance. Toute divulgation de bugs, sans suivre ce principe ne sera pas éligible à une récompense.Les vulnérabilités détectées dans les logiciels obsolètes tels qu'Apache ou Nginx sont-elles éligibles à une récompense ?Identifiez les vulnérabilités du logiciel et expliquez pourquoi vous pensez qu'elles ont une incidence néfaste sur l'utilisation du logiciel. Les rapports ne contenant pas ce type d'informations ne sont généralement pas éligibles à une prime.Puis-je demander à ce que mon nom ne figure pas sur la page des avis de sécurité de Synology ?Oui. Vous pouvez demander à ne pas être répertorié sur notre page Conseils de sécurité. Cependant, si vous êtes éligible à une récompense et que vous souhaitez l'accepter, nous aurons besoin de vos coordonnées pour traiter le paiement.Les vulnérabilités sont-elles toujours éligibles à une récompense si elles sont signalées aux agents en vulnérabilités ?La divulgation privée d'une vulnérabilité à des tiers à des fins autres que la correction de bugs est contraire à l'esprit de notre programme. Par conséquent, ces rapports ne seront pas éligibles à une récompense.Dans le cas où un même bug est signalé par plusieurs personnes, qui est éligible à une prime ?La récompense est accordée à la première personne qui découvre une vulnérabilité qui nous était jusque-là inconnue.

Remerciements

Nous voudrions remercier les chercheurs et organisations en sécurité qui nous ont aidés.

2024
2023
2022
2021
2020
2019
2018
2017

Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
Tim Coen (https://security-consulting.icu/)
Mykola Grymalyuk from RIPEDA Consulting
Zhao Runzi (赵润梓)
Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
Offensive Security Research @ Ronin (https://ronin.ae/)
Nathan (Yama) https://DontClickThis.run
M Tayyab Iqbal (www.alphainferno.com)
Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
Wonbeen Im, STEALIEN (https://stealien.com)
赵润梓、李建申（https://lsr00ter.github.io）
Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
Steven Lin (https://x.com/5teven1in)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Mohd Ali (revengerali)
Orange Tsai (@orange_8361) from DEVCORE Research Team
Bocheng Xiang with FDU(@crispr)
HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
Hydrobikz (https://www.linkedin.com/in/bikash-)
Can Acar (https://imcan.dev)
Yves Bieri of Compass Security (https://www.compass-security.com)
DEVCORE Research Team (https://devco.re/)
aoxsin (https://twitter.com/aoxsin)

Endure Secure (https://endsec.au)
Stephen Argent (https://www.runby.coffee/)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
Bruce Chen (https://twitter.com/bruce30262)
aoxsin (https://twitter.com/aoxsin)
Armanul Miraz
Jaehoon Jang, STEALIEN (https://stealien.com)
Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
Tim Coen (https://security-consulting.icu)
TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
Zhao Runzi (赵润梓)

Kevin Wang (https://twitter.com/kevingwn_ )
Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
Safwat Refaat (@Caesar302)
Jeffrey Baker (www.Biznet.net)
Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
Ravi (https://twitter.com/itsrvsinghh)
remonsec (https://twitter.com/remonsec)
TheLabda (https://thelabda.com)
Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
Sivanesh kumar (https://twitter.com/sivanesh_hacker)
Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
@aoxsin (https://twitter.com/aoxsin)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Hasibul Hasan Shawon (@Saiyan0x01)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
Lukas Kupczyk, CrowdStrike Intelligence
Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
Zhao Runzi (赵润梓)

Qian Chen (@cq674350529) de l'équipe Codesafe de Legendsec de Qi'anxin Group
Patrik Fabian (https://websafe.hu)
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Jeenika Anadani (https://twitter.com/j33n1k4)
waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
Milan katwal (https://www.milankatwal.com.np/)
N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
Yimi Hu@baidu.com
Raman R Mohurle (https://twitter.com/Raman_Mohurle)
cmj (http://blog.cmj.tw/)
Parth Manek
Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
Dennis Herrmann (Code White GmbH)
Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Devender Rao (https://www.linkedin.com/in/devender-rao)
RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
Atharv Shejwal (https://kongsec.io)
Xavier DANEST (https://sustainability.decathlon.com/)
Aditya Shende (http://kongsec.io)
Andreas Rothenbacher (https://error401.de)
Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
Suraj SK (https://www.linkedin.com/in/suraj-sk/)
Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
Touhid Shaikh (https://securityium.com/)
N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
ddaa de TrapaSecurity (https://twitter.com/0xddaa)
Praveen Kumar
Oscar Spierings (https://polyform.dev)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Swings of Chaitin Security Research Lab
Hasibul Hasan Rifat (https://twitter.com/rifatsec)
Lanni
Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)

Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Lanni
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Vladislav Akimenko (Digital Security) (https://dsec.ru)
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Aditya Soni (https://www.linkedin.com/in/adtyasoni)
Mansoor Amjad (https://twitter.com/TheOutcastCoder)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
Mehedi Hasan Remon (twitter.com/remonsec)
Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
Mohammed Eldawody (www.fb.com/eldawody0)
YoKo Kho (https://twitter.com/YoKoAcc)
Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
Tinu Tomy (https://twitter.com/tinurock007)
Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Agrah Jain (www.linkedin.com/in/agrahjain)
Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
Pratik Vinod Yadav (https://twitter.com/PratikY9967)
Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
Jan KOPEC(https://twitter.com/blogresponder)
Denis Burtanović
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Georg Delp (https://www.linkedin.com/in/georgdelp/)

R Atik Islam (https://www.facebook.com/atik.islam.14661)
Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
Kitab Ahmed (www.ahmed.science)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
Rushi Gayakwad
Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
Sumit Jain (https://twitter.com/sumit_cfe)
Qian Chen de Qihoo 360 Nirvan Team
Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
Zhong Zhaochen
Tomasz Grabowski
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Safwat Refaat (https://twitter.com/Caesar302)
Agent22 (https://securelayer7.net/)
Hsiao-Yung Chen
Rich Mirch (https://blog.mirch.io)
Ronak Nahar (https://www.linkedin.com/in/naharronak/)
Noman Shaikh (https://twitter.com/nomanAli181)
David Deller (https://horizon-nigh.org)
Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
Touhid M Shaikh (https://touhidshaikh.com)
Abhishek Gaikwad
Kitabuddin Ahmed
Noman Shaikh (https://twitter.com/nomanAli181)
Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
Dan Thomsen (www.thomsen.fo)
Erik de Jong (https://eriknl.github.io)
Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
Hasibul Hasan (SecMiner)
Mohammed Eldawody (www.fb.com/eldawody0)
Chris Schneider
Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
Axel Peters
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Kyle Green
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Dankel Ahmed (https://hackerone.com/kitab)
ShuangYY
HackTrack Security
Muhammed Ashmil K K (Kavuthukandiyil)

Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
Kishan kumar (https://facebook.com/noobieboy007)
Lays (http://l4ys.tw)
Ashish Kumar (https://www.facebook.com/buggyashish)
Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
Ifrah Iman (http://www.ifrahiman.com)
Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
Taien Wang (https://www.linkedin.com/in/taienwang/)
Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
Yasser Gersy (https://twitter.com/yassergersy)
Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Oliver Kramer (https://www.linkedin.com/in/oliver-kramer-670206b5)
1N3@CrowdShield (https://crowdshield.com)
louys, Xie Wei (解炜), Li Yanlong (李衍龙)
Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
Ali Razzaq (https://twitter.com/AliRazzaq_)
丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
Alex Weber (www.broot.ca)
Alex Bastrakov (https://twitter.com/kazan71p)
Mehidia Tania (https://www.beetles.io)
freetsubasa (https://twitter.com/freetsubasa)
Łukasz Rutkowski (http://www.forit.pl/)
Maximilian Tews (www.linkedin.com/in/maximilian-tews)
Bryan Galao (https://www.facebook.com/xbryan.galao)
Jim Zhou (vip-cloud.cn)
Chun Han Hsiao
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Olivier Bédard
Mohamed Eldawody (https://www.facebook.com/Eldawody0)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
郑吉宏通过 GeekPwn 平台提交
Independent Security Evaluators (ISE) labs
Chercheur indépendant en sécurité, MengHuan Yu, a signalé cette vulnérabilité au programme SecuriTeam Secure Disclosure de Beyond Security
B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
Uriya Yavnieli from VDOO (https://vdoo.com)
Jung Chan Hyeok
Zhong Zhaochen (http://asnine.com)

Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
Sumit Jain
Ketankumar B. Godhani (https://twitter.com/KBGodhani)
karthickumar (Ramanathapuram)
Alireza Azimzadeh Milani
Taien Wang (https://www.facebook.com/taien.tw)
Frédéric Crozat (http://blog.crozat.net/)
Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
SSD/Kacper Szurek
Alexander Drabek (https://www.2-sec.com/)
RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
Kushal ARVIND Shah de FortiGuard Labs de Fortinet
Alvin Poon (https://alvinpoon.myportfolio.com/)
C.shahidyan, C.Akilan, K.Sai Aswanth
BambooFox (https://bamboofox.github.io/)
Sajibe Kanti (https://twitter.com/sajibekantibd)
Huy Kha (linkedin.com/in/huykha)
Pal Patel (https://www.linkedin.com/in/pal434/)
Pethuraj M (https://www.linkedin.com/in/pethu/)
Ali Ashber (https://www.facebook.com/aliashber7)
Muzammil Abbas Kayani (@muzammilabbas2 )
Tayyab Qadir (facebook.com/tqMr.EditOr)
Babar Khan Akhunzada (www.SecurityWall.co)
Mahad Ahmed (https://octadev.com.pk)
JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
Mubassir Kamdar (http://www.mubassirkamdar.com)
Daniel Díez Tainta (https://twitter.com/danilabs)
Tushar Rawool (twitter.com/tkrawool)
Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
Ashish Kunwar (twitter : @D0rkerDevil)
Steven Hampton (Twitter : @Keritzy, https://stevenh.neocities.org/)
Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
Roopak Voleti (https://m.facebook.com/sairoopak.voleti)