Security Bug Bounty Program

Product scope

Dit programma accepteert alleen kwetsbaarheidsrapporten met betrekking tot Synology's producten en webservices. Kwetsbaarheidsrapporten die buiten de reikwijdte van het programma vallen, komen over het algemeen niet in aanmerking voor beloningen; echter, buiten-scope rapporten van kritieke kwetsbaarheden kunnen worden geaccepteerd afhankelijk van de situatie.

Besturingssystemen

Beloningen tot

30000

Bevat Synology DiskStation Manager, Synology Router Manager, en Synology BeeStation.

Meer informatie

Software en C2 cloud diensten

Beloningen tot

10000

Bevat door Synology ontwikkelde softwarepakketten, gerelateerde mobiele apps, en C2 cloud diensten.

Meer informatie

Web diensten

Beloningen tot

5000

Bevat alle belangrijke Synology webdiensten.

Meer informatie

Beloningsdetails

Criteria voor beloningsgeschiktheid

Geef alle informatie die we nodig hebben om de gemelde problemen te reproduceren. De grootte van elke beloning hangt af van de ernst van de gemelde kwetsbaarheid en welke productcategorie is getroffen.

Om in aanmerking te komen voor geldelijke beloningen, moeten rapporten voldoen aan de volgende criteria:

U bent de eerste onderzoeker die deze kwetsbaarheid meldt
De gemelde kwetsbaarheid is bevestigd als verifieerbaar, reproduceerbaar en een geldig beveiligingsprobleem
Uw rapport voldoet aan de voorwaarden en regelgeving van het Bounty Programma

Melden van beveiligingsbugs

Als u denkt dat u een kwetsbaarheid heeft gevonden, volg dan de onderstaande stappen:

Stap 1

Neem contact met ons op via het contactformulier van het Bountyprogramma.

Stap 2

Gebruik deze PGP-sleutel om uw informatie te versleutelen wanneer u bugrapporten naar Synology verzendt.

Stap 3

Voeg een gedetailleerd bewijs van concept (PoC) toe en zorg ervoor dat de gemelde problemen kunnen worden gereproduceerd.

Stap 4

Houd uw beschrijving bondig. Bijvoorbeeld, een korte proof-of-concept link wordt hoger gewaardeerd dan een video die de gevolgen van een SSRF-probleem uitlegt.

Uw en onze verantwoordelijkheden

Uw rapport

Om onze verwerkingstijd te verminderen, moet een goed kwetsbaarheidsrapport:

Bevat een duidelijk geschreven stap-voor-stap beschrijving in het Engels van hoe de kwetsbaarheid te reproduceren
Demonstreer hoe de kwetsbaarheid Synology-producten of webservices beïnvloedt, en beschrijf welke versies en platforms zijn getroffen
Geef de potentiële schade aan die door de gerapporteerde kwetsbaarheid wordt veroorzaakt

Onze reactie

Het Synology Security Team zal binnen 7 dagen reageren op uw rapport en regelmatig de status bijwerken en de kwetsbaarheid zo snel mogelijk verhelpen, afhankelijk van de ernst van de dreiging.

Als uw kwetsbaarheidsrapport in aanmerking komt voor een geldelijke beloning, wordt uw naam vermeld op de pagina Synology Product Security Advisory op onze officiële website als blijk van onze waardering.

Dit proces zal minimaal 90 dagen duren. Uw beloning wordt overgemaakt bij voltooiing van het proces.

Opmerkingen:Synology behoudt zich het recht voor om dit programma, inclusief de beleidsregels, op elk moment zonder voorafgaande kennisgeving te wijzigen of te annuleren.

Besturingssystemen

Beloning	Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$30,000.*
Producten binnen de scope	Alleen rapporten over officieel uitgebrachte versies worden geaccepteerd. DiskStation Manager (DSM) DSM 7 (laatste versie) Synology Router Manager (SRM) SRM 1.3 (laatste versie) Synology Camera firmware Firmware 1.1 (laatste versie) Synology BeeStation BeeStation OS 1.0 (laatste versie)
Regelgeving en beperkingen	Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade kunnen toebrengen aan of nadelig kunnen zijn voor Synology-servers of -gegevens zijn strikt verboden. Het testen van kwetsbaarheden mag niet in strijd zijn met lokale of Taiwanese wetten. Kwetsbaarheidsrapporten worden niet geaccepteerd onder het programma als ze beschrijven of betrekken: DoS (Denial of Service) aanvallen op servers van Synology of gebruikers Kwetsbaarheidstests die schadelijk zijn voor servers of gegevens van Synology of gebruikers Fysieke aanvallen of sociale manipulatie Openbaarmaking van buginformatie voor goedkeuring door Synology Niet-kritieke kwetsbaarheden in verouderde diensten of producten Kwetsbaarheden die alleen verouderde webbrowsers beïnvloeden De meeste soorten brute-force aanvallen Gereflecteerde XSS-aanvallen of Zelf-XSS-aanvallen Kwetsbaarheden die phishing, het creëren van nepwebsites of fraude betreffen Rapporten van kwetsbaarheidsscans die de effecten van de kwetsbaarheid niet beschrijven Aanwijzingen dat standaardpoorten kwetsbaar zijn, maar zonder een PoC te leveren Theoretische kwetsbaarheden zonder concrete Proof of Concept (PoC) Open redirects worden doorgaans als informatief beschouwd en komen niet in aanmerking voor beloningen tenzij ze bijdragen aan een meer significante kwetsbaarheid Ontbrekende beveiligingsheaders die niet direct leiden tot exploitatie Ontbrekende beveiligingsvlaggen in cookies Gebruikersenumeratie. Rapporten die gebruikersenumeratie beschrijven vallen niet binnen de scope tenzij u kunt aantonen dat we geen snelheidslimieten hebben om onze gebruikers te beschermen.

Beloning

Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$30,000.*

Producten binnen de scope

Alleen rapporten over officieel uitgebrachte versies worden geaccepteerd.

DiskStation Manager (DSM)

DSM 7 (laatste versie)

Synology Router Manager (SRM)

SRM 1.3 (laatste versie)

Synology Camera firmware

Firmware 1.1 (laatste versie)

Synology BeeStation

BeeStation OS 1.0 (laatste versie)

Regelgeving en beperkingen

Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade kunnen toebrengen aan of nadelig kunnen zijn voor Synology-servers of -gegevens zijn strikt verboden. Het testen van kwetsbaarheden mag niet in strijd zijn met lokale of Taiwanese wetten.

Kwetsbaarheidsrapporten worden niet geaccepteerd onder het programma als ze beschrijven of betrekken:

DoS (Denial of Service) aanvallen op servers van Synology of gebruikers
Kwetsbaarheidstests die schadelijk zijn voor servers of gegevens van Synology of gebruikers
Fysieke aanvallen of sociale manipulatie
Openbaarmaking van buginformatie voor goedkeuring door Synology
Niet-kritieke kwetsbaarheden in verouderde diensten of producten
Kwetsbaarheden die alleen verouderde webbrowsers beïnvloeden
De meeste soorten brute-force aanvallen
Gereflecteerde XSS-aanvallen of Zelf-XSS-aanvallen
Kwetsbaarheden die phishing, het creëren van nepwebsites of fraude betreffen
Rapporten van kwetsbaarheidsscans die de effecten van de kwetsbaarheid niet beschrijven
Aanwijzingen dat standaardpoorten kwetsbaar zijn, maar zonder een PoC te leveren
Theoretische kwetsbaarheden zonder concrete Proof of Concept (PoC)
Open redirects worden doorgaans als informatief beschouwd en komen niet in aanmerking voor beloningen tenzij ze bijdragen aan een meer significante kwetsbaarheid
Ontbrekende beveiligingsheaders die niet direct leiden tot exploitatie
Ontbrekende beveiligingsvlaggen in cookies
Gebruikersenumeratie. Rapporten die gebruikersenumeratie beschrijven vallen niet binnen de scope tenzij u kunt aantonen dat we geen snelheidslimieten hebben om onze gebruikers te beschermen.

*Zie de pagina met beloningsdetails op de webpagina van het beveiligingsbugprogramma voor meer details.
**De maximale beloning voor kwetsbaarheden in SRM_LAN is $5.000.
***De maximale beloning voor kwetsbaarheden in camera-firmware is $10.000.

Software en C2-cloudservices

Beloning	Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$10.000.*
Producten binnen de scope	Alleen rapporten over officieel uitgebrachte versies worden geaccepteerd. Pakketten Door Synology ontwikkelde softwarepakketten Desktopclients Door Synology ontwikkelde Windows, macOS en Linux applicaties Mobiele apps Door Synology ontwikkelde mobiele apps voor Android en iOS Synology Account .account.synology.com domeinen .identity.synology.com domeinen C2-diensten *.c2.synology.com domeinen
Regelgeving en beperkingen	Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade of nadelige gevolgen kunnen hebben voor Synology-servers of -gegevens zijn strikt verboden. Kwetsbaarheidstests mogen de lokale of Taiwanese wetten niet schenden. Kwetsbaarheidsrapporten worden niet geaccepteerd onder het programma als ze beschrijven of betrekken: DoS (Denial of Service) aanvallen op servers van Synology of gebruikers Kwetsbaarheidstests die schadelijk zijn voor servers of gegevens van Synology of gebruikers Fysieke aanvallen of sociale manipulatie Openbaarmaking van buginformatie voor goedkeuring door Synology Niet-kritieke kwetsbaarheden in verouderde diensten of producten Kwetsbaarheden die alleen verouderde webbrowsers beïnvloeden De meeste soorten brute-force aanvallen Gereflecteerde XSS-aanvallen of Zelf-XSS-aanvallen Kwetsbaarheden die phishing, het creëren van nepwebsites of fraude betreffen Rapporten van kwetsbaarheidsscans die de effecten van de kwetsbaarheid niet beschrijven Aanwijzingen dat standaardpoorten kwetsbaar zijn, maar zonder een PoC te leveren Theoretische kwetsbaarheden zonder concrete Proof of Concept (PoC) Open redirects worden doorgaans als informatief beschouwd en komen niet in aanmerking voor beloningen tenzij ze bijdragen aan een meer significante kwetsbaarheid Ontbrekende beveiligingsheaders die niet direct leiden tot exploitatie Ontbrekende beveiligingsvlaggen in cookies Gebruikersenumeratie. Rapporten die gebruikersenumeratie beschrijven vallen niet binnen de scope tenzij u kunt aantonen dat we geen snelheidslimieten hebben om onze gebruikers te beschermen.

Beloning

Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$10.000.*

Producten binnen de scope

Alleen rapporten over officieel uitgebrachte versies worden geaccepteerd.

Pakketten

Door Synology ontwikkelde softwarepakketten

Desktopclients

Door Synology ontwikkelde Windows, macOS en Linux applicaties

Mobiele apps

Door Synology ontwikkelde mobiele apps voor Android en iOS

Synology Account

*.account.synology.com domeinen
*.identity.synology.com domeinen

C2-diensten

*.c2.synology.com domeinen

Regelgeving en beperkingen

Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade of nadelige gevolgen kunnen hebben voor Synology-servers of -gegevens zijn strikt verboden. Kwetsbaarheidstests mogen de lokale of Taiwanese wetten niet schenden.

Kwetsbaarheidsrapporten worden niet geaccepteerd onder het programma als ze beschrijven of betrekken:

DoS (Denial of Service) aanvallen op servers van Synology of gebruikers
Kwetsbaarheidstests die schadelijk zijn voor servers of gegevens van Synology of gebruikers
Fysieke aanvallen of sociale manipulatie
Openbaarmaking van buginformatie voor goedkeuring door Synology
Niet-kritieke kwetsbaarheden in verouderde diensten of producten
Kwetsbaarheden die alleen verouderde webbrowsers beïnvloeden
De meeste soorten brute-force aanvallen
Gereflecteerde XSS-aanvallen of Zelf-XSS-aanvallen
Kwetsbaarheden die phishing, het creëren van nepwebsites of fraude betreffen
Rapporten van kwetsbaarheidsscans die de effecten van de kwetsbaarheid niet beschrijven
Aanwijzingen dat standaardpoorten kwetsbaar zijn, maar zonder een PoC te leveren
Theoretische kwetsbaarheden zonder concrete Proof of Concept (PoC)
Open redirects worden doorgaans als informatief beschouwd en komen niet in aanmerking voor beloningen tenzij ze bijdragen aan een meer significante kwetsbaarheid
Ontbrekende beveiligingsheaders die niet direct leiden tot exploitatie
Ontbrekende beveiligingsvlaggen in cookies
Gebruikersenumeratie. Rapporten die gebruikersenumeratie beschrijven vallen niet binnen de scope tenzij u kunt aantonen dat we geen snelheidslimieten hebben om onze gebruikers te beschermen.

*Zie de pagina met beloningsdetails op de webpagina van het Security Bug Program voor meer details.

Web diensten

Beloning	Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$5.000.*
Producten binnen de reikwijdte	De volgende domeinen (inclusief subdomeinen) vallen binnen de scope: *.synology.com De volgende domeinen (inclusief subdomeinen) vallen buiten de reikwijdte: openstack-ci-logs.synology.com, router.synology.com Synology behoudt zich het recht voor om deze lijst op elk moment zonder kennisgeving te wijzigen.
Regelgeving en beperkingen	Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade kunnen toebrengen aan of nadelig kunnen zijn voor Synology-servers of -gegevens zijn strikt verboden. Kwetsbaarheidstests mogen de lokale of Taiwanese wetten niet schenden. Kwetsbaarheidsrapporten worden niet geaccepteerd binnen het programma als ze beschrijven of betrekken: DoS (Denial of Service) aanvallen op Synology's of gebruikers' servers Kwetsbaarheidstests die nadelig zijn voor Synology's of gebruikers' servers of gegevens Fysieke aanvallen of sociale engineering Openbaarmaking van buginformatie voor goedkeuring door Synology Directory traversal op https://*archive.synology.com Gereflecteerde bestandsdownload Banner grabbing problemen of softwareversie onthulling 0-day kwetsbaarheid onthuld binnen 90 dagen Niet-kritieke kwetsbaarheden in verouderde diensten of producten Kwetsbaarheden die alleen verouderde webbrowsers beïnvloeden Meeste soorten brute-force aanvallen Gereflecteerde XSS-aanvallen of Self XSS-aanvallen Kwetsbaarheden die betrekking hebben op phishing, het creëren van nepwebsites, of het plegen van fraude Kwetsbaarheidsscanningsrapporten die de effecten van de kwetsbaarheid niet beschrijven Aanwijzingen dat standaardpoorten kwetsbaar zijn, maar zonder het verstrekken van een PoC Theoretische kwetsbaarheden zonder concrete Proof of Concept (PoC) Open redirects worden doorgaans als informatief beschouwd en komen niet in aanmerking voor beloningen, tenzij ze bijdragen aan een meer significante kwetsbaarheid Ontbrekende beveiligingsheaders die niet direct leiden tot exploitatie Ontbrekende beveiligingsvlaggen in cookies Gebruikersenumeratie. Rapporten die gebruikersenumeratie beschrijven vallen niet binnen de reikwijdte, tenzij u kunt aantonen dat we geen snelheidslimieten hebben om onze gebruikers te beschermen.

Beloning

Gekwalificeerde rapporten komen in aanmerking voor een beloning van maximaal US$5.000.*

Producten binnen de reikwijdte

De volgende domeinen (inclusief subdomeinen) vallen binnen de scope:

*.synology.com

De volgende domeinen (inclusief subdomeinen) vallen buiten de reikwijdte:

openstack-ci-logs.synology.com, router.synology.com

Synology behoudt zich het recht voor om deze lijst op elk moment zonder kennisgeving te wijzigen.

Regelgeving en beperkingen

Dit programma is strikt beperkt tot beveiligingskwetsbaarheden gevonden in Synology-producten en -diensten. Acties die mogelijk schade kunnen toebrengen aan of nadelig kunnen zijn voor Synology-servers of -gegevens zijn strikt verboden. Kwetsbaarheidstests mogen de lokale of Taiwanese wetten niet schenden.

Kwetsbaarheidsrapporten worden niet geaccepteerd binnen het programma als ze beschrijven of betrekken:

DoS (Denial of Service) aanvallen op Synology's of gebruikers' servers
Kwetsbaarheidstests die nadelig zijn voor Synology's of gebruikers' servers of gegevens
Fysieke aanvallen of sociale engineering
Openbaarmaking van buginformatie voor goedkeuring door Synology
Directory traversal op https://*archive.synology.com
Gereflecteerde bestandsdownload
Banner grabbing problemen of softwareversie onthulling
0-day kwetsbaarheid onthuld binnen 90 dagen
Niet-kritieke kwetsbaarheden in verouderde diensten of producten
Kwetsbaarheden die alleen verouderde webbrowsers beïnvloeden
Meeste soorten brute-force aanvallen
Gereflecteerde XSS-aanvallen of Self XSS-aanvallen
Kwetsbaarheden die betrekking hebben op phishing, het creëren van nepwebsites, of het plegen van fraude
Kwetsbaarheidsscanningsrapporten die de effecten van de kwetsbaarheid niet beschrijven
Aanwijzingen dat standaardpoorten kwetsbaar zijn, maar zonder het verstrekken van een PoC
Theoretische kwetsbaarheden zonder concrete Proof of Concept (PoC)
Open redirects worden doorgaans als informatief beschouwd en komen niet in aanmerking voor beloningen, tenzij ze bijdragen aan een meer significante kwetsbaarheid
Ontbrekende beveiligingsheaders die niet direct leiden tot exploitatie
Ontbrekende beveiligingsvlaggen in cookies
Gebruikersenumeratie. Rapporten die gebruikersenumeratie beschrijven vallen niet binnen de reikwijdte, tenzij u kunt aantonen dat we geen snelheidslimieten hebben om onze gebruikers te beschermen.

*Zie de pagina met beloningsdetails op de webpagina van het Security Bug Program voor meer details.

Beloningsdetails

Deze pagina is ontworpen om onderzoekers te helpen de potentiële maximale beloningen voor specifieke soorten kwetsbaarheden te begrijpen en om de soorten kwetsbaarheden te benadrukken die Synology het meest waardeert. We waarderen uw bijdragen en zijn toegewijd om significant veiligheidsonderzoek eerlijk te belonen.

De beloningen in de tabel tonen het maximale mogelijk voor elke categorie, maar niet elk kwalificerend rapport is gegarandeerd om het vermelde bedrag te ontvangen.*

Kritiek
	Besturingssystemen	Software en C2 cloud diensten	Web diensten
Zero-click pre-auth RCE	$30,000	$10,000	$5,000
Zero-click pre-auth arbitrary file r/w	$9,000	$4,600	$2,400

Belangrijk
	Besturingssystemen	Software en C2 cloud diensten	Web diensten
1-click pre-auth RCE	$8,000	$4,000	$2,000
Zero-click normal-user-auth RCE	$7,500	$3,900	$1,900
Zero-click normal-user-auth arbitrary file r/w	$6,500	$3,400	$1,700
Zero-click pre-auth RCE (AC:H)	$6,500	$3,400	$1,700
1-click pre-auth RCE (AC:H)	$5,000	$2,500	$1,325
pre-auth SQL injection	$3,800	$1,950	$1,025
1-click normal-user-auth RCE (AC:H)	$2,600	$1,350	$725
pre-auth stored XSS	$2,600	$1,350	$725

Matig
	Besturingssystemen	Software en C2 cloud diensten	Web diensten
normal-user-auth stored XSS	$1,350	$733	$417
normal-user-auth SQL injection	$1,200	$607	$353
admin-auth vulnerabilities	$100	$100	$100

1. Vanaf 1 oktober 2024 worden de beloningen voor admin-auth kwetsbaarheden vastgesteld op $100 USD.

Opmerkingen:

Let op dat hoewel richtlijnen voor beloningen worden gegeven, elk rapport individueel en grondig wordt geëvalueerd. De beoordeling houdt rekening met verschillende factoren, waaronder maar niet beperkt tot de reikwijdte gedetailleerd in de beloningsrubriek. Synology behoudt zich het recht voor om de uiteindelijke interpretatie van de beloningsbedragen te maken.
Voor kwesties die als lage prioriteit of suggesties worden geclassificeerd, zullen alleen bevestigingen worden verstrekt.

Veelgestelde vragen

Hoe moet ik een kwetsbaarheid melden?Verstrek een gedetailleerde PoC (Proof of Concept) en zorg dat de gemelde problemen kunnen worden gereproduceerd. Gebruik deze PGP-sleutelcodering die door Synology wordt aangeboden wanneer u bugrapporten naar ons verzendt en maak de relevante informatie niet bekend aan derden.Wie is verantwoordelijk voor het bepalen of mijn bugrapport in aanmerking komt voor een beloning?Alle bugrapporten worden beoordeeld en geëvalueerd door het Synology Security Team, dat bestaat uit senior beveiligingsanalisten van Synology.Wat zijn de gevolgen als een bug openbaar wordt gemaakt voordat deze is opgelost?We streven ernaar om bugrapporten snel te beantwoorden en binnen een redelijke termijn te herstellen. Laat ons alstublieft van tevoren weten voordat u de buginformatie openbaar maakt. Elke bugonthulling zonder deze procedure te volgen komt niet in aanmerking voor een beloning.Komen kwetsbaarheden gevonden in verouderde software zoals Apache of Nginx in aanmerking voor een beloning?Identificeer de kwetsbaarheden in de software en leg uit waarom u vermoedt dat ze schadelijk zijn voor het gebruik van de software. Rapporten die deze informatie weglaten komen meestal niet in aanmerking voor een beloning.Kan ik verzoeken dat mijn naam niet wordt vermeld op de Beveiligingsadviespagina van Synology?Ja. U kunt verzoeken om niet vermeld te worden op onze Beveiligingsadviespagina. Als u echter in aanmerking komt voor een beloning en deze wilt accepteren, hebben we nog steeds uw contactgegevens nodig om de betaling te verwerken.Komen kwetsbaarheden nog steeds in aanmerking voor een beloning als ze worden gemeld aan kwetsbaarheidsmakelaars?Het privé onthullen van een kwetsbaarheid aan derden voor andere doeleinden dan het oplossen van bugs is in strijd met de geest van ons programma. Daarom komen dergelijke rapporten niet in aanmerking voor een beloning.Wie komt in aanmerking voor een beloning als dezelfde bug door meer dan één persoon wordt gemeld?De beloning wordt toegekend aan de eerste persoon die een kwetsbaarheid ontdekt die ons voorheen onbekend was.

Erkenning

We willen onze hoed afnemen voor beveiligingsonderzoekers en organisaties die ons hebben geholpen.

2024
2023
2022
2021
2020
2019
2018
2017

Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
Tim Coen (https://security-consulting.icu/)
Mykola Grymalyuk from RIPEDA Consulting
Zhao Runzi (赵润梓)
Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
Offensive Security Research @ Ronin (https://ronin.ae/)
Nathan (Yama) https://DontClickThis.run
M Tayyab Iqbal (www.alphainferno.com)
Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
Wonbeen Im, STEALIEN (https://stealien.com)
赵润梓、李建申（https://lsr00ter.github.io）
Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
Steven Lin (https://x.com/5teven1in)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Mohd Ali (revengerali)
Orange Tsai (@orange_8361) from DEVCORE Research Team
Bocheng Xiang with FDU(@crispr)
HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
Hydrobikz (https://www.linkedin.com/in/bikash-)
Can Acar (https://imcan.dev)
Yves Bieri of Compass Security (https://www.compass-security.com)
DEVCORE Research Team (https://devco.re/)
aoxsin (https://twitter.com/aoxsin)

Endure Secure (https://endsec.au)
Stephen Argent (https://www.runby.coffee/)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
Bruce Chen (https://twitter.com/bruce30262)
aoxsin (https://twitter.com/aoxsin)
Armanul Miraz
Jaehoon Jang, STEALIEN (https://stealien.com)
Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
Tim Coen (https://security-consulting.icu)
TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
Zhao Runzi (赵润梓)

Kevin Wang (https://twitter.com/kevingwn_ )
Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
Safwat Refaat (@Caesar302)
Jeffrey Baker (www.Biznet.net)
Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
Ravi (https://twitter.com/itsrvsinghh)
remonsec (https://twitter.com/remonsec)
TheLabda (https://thelabda.com)
Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
Sivanesh kumar (https://twitter.com/sivanesh_hacker)
Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
@aoxsin (https://twitter.com/aoxsin)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Hasibul Hasan Shawon (@Saiyan0x01)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
Lukas Kupczyk, CrowdStrike Intelligence
Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
Zhao Runzi (赵润梓)

Qian Chen (@cq674350529) from Codesafe Team of Legendsec at Qi'anxin Group
Patrik Fabian (https://websafe.hu)
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Jeenika Anadani (https://twitter.com/j33n1k4)
waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
Milan katwal (https://www.milankatwal.com.np/)
N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
Yimi Hu@baidu.com
Raman R Mohurle (https://twitter.com/Raman_Mohurle)
cmj (http://blog.cmj.tw/)
Parth Manek
Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
Dennis Herrmann (Code White GmbH)
Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Devender Rao (https://www.linkedin.com/in/devender-rao)
RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
Atharv Shejwal (https://kongsec.io)
Xavier DANEST (https://sustainability.decathlon.com/)
Aditya Shende (http://kongsec.io)
Andreas Rothenbacher (https://error401.de)
Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
Suraj SK (https://www.linkedin.com/in/suraj-sk/)
Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
Touhid Shaikh (https://securityium.com/)
N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
ddaa of TrapaSecurity (https://twitter.com/0xddaa)
Praveen Kumar
Oscar Spierings (https://polyform.dev)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
swings of Chaitin Security Research Lab
Hasibul Hasan Rifat (https://twitter.com/rifatsec)
Lanni
Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)

Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Lanni
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Vladislav Akimenko (Digital Security) (https://dsec.ru)
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Aditya Soni (https://www.linkedin.com/in/adtyasoni)
Mansoor Amjad (https://twitter.com/TheOutcastCoder)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
Mehedi Hasan Remon (twitter.com/remonsec)
Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
Mohammed Eldawody (www.fb.com/eldawody0)
YoKo Kho (https://twitter.com/YoKoAcc)
Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
Tinu Tomy (https://twitter.com/tinurock007)
Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Agrah Jain (www.linkedin.com/in/agrahjain)
Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
Pratik Vinod Yadav (https://twitter.com/PratikY9967)
Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
Jan KOPEC(https://twitter.com/blogresponder)
Denis Burtanović
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Georg Delp (https://www.linkedin.com/in/georgdelp/)

R Atik Islam (https://www.facebook.com/atik.islam.14661)
Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
Kitab Ahmed (www.ahmed.science)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
Rushi Gayakwad
Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
Sumit Jain (https://twitter.com/sumit_cfe)
Qian Chen of Qihoo 360 Nirvan Team
Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
Zhong Zhaochen
Tomasz Grabowski
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Safwat Refaat (https://twitter.com/Caesar302)
Agent22 (https://securelayer7.net/)
Hsiao-Yung Chen
Rich Mirch (https://blog.mirch.io)
Ronak Nahar (https://www.linkedin.com/in/naharronak/)
Noman Shaikh (https://twitter.com/nomanAli181)
David Deller (https://horizon-nigh.org)
Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
Touhid M Shaikh (https://touhidshaikh.com)
Abhishek Gaikwad
Kitabuddin Ahmed
Noman Shaikh (https://twitter.com/nomanAli181)
Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
Dan Thomsen (www.thomsen.fo)
Erik de Jong (https://eriknl.github.io)
Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
Hasibul Hasan (SecMiner)
Mohammed Eldawody (www.fb.com/eldawody0)
Chris Schneider
Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
Axel Peters
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Kyle Green
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Dankel Ahmed (https://hackerone.com/kitab)
ShuangYY
HackTrack Security
Muhammed Ashmil K K (Kavuthukandiyil)

Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
Kishan kumar (https://facebook.com/noobieboy007)
Lays (http://l4ys.tw)
Ashish Kumar (https://www.facebook.com/buggyashish)
Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
Ifrah Iman (http://www.ifrahiman.com)
Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
Taien Wang (https://www.linkedin.com/in/taienwang/)
Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
Yasser Gersy (https://twitter.com/yassergersy)
Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Oliver Kramer (https://www.linkedin.com/in/oliver-kramer-670206b5)
1N3@CrowdShield (https://crowdshield.com)
louys, Xie Wei (解炜), Li Yanlong (李衍龙)
Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
Ali Razzaq (https://twitter.com/AliRazzaq_)
丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
Alex Weber (www.broot.ca)
Alex Bastrakov (https://twitter.com/kazan71p)
Mehidia Tania (https://www.beetles.io)
freetsubasa (https://twitter.com/freetsubasa)
Łukasz Rutkowski (http://www.forit.pl/)
Maximilian Tews (www.linkedin.com/in/maximilian-tews)
Bryan Galao (https://www.facebook.com/xbryan.galao)
Jim Zhou (vip-cloud.cn)
Chun Han Hsiao
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Olivier Bédard
Mohamed Eldawody (https://www.facebook.com/Eldawody0)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
郑吉宏通过 GeekPwn 平台提交
Independent Security Evaluators (ISE) labs
Independent security researcher, MengHuan Yu, has reported this vulnerability to Beyond Security’s SecuriTeam Secure Disclosure program
B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
Uriya Yavnieli from VDOO (https://vdoo.com)
Jung Chan Hyeok
Zhong Zhaochen (http://asnine.com)

Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
Sumit Jain
Ketankumar B. Godhani (https://twitter.com/KBGodhani)
karthickumar (Ramanathapuram)
Alireza Azimzadeh Milani
Taien Wang (https://www.facebook.com/taien.tw)
Frédéric Crozat (http://blog.crozat.net/)
Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
SSD/Kacper Szurek
Alexander Drabek (https://www.2-sec.com/)
RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
Kushal Arvind Shah of Fortinet’s FortiGuard Labs
Alvin Poon (https://alvinpoon.myportfolio.com/)
C.shahidyan, C.Akilan, K.Sai Aswanth
BambooFox (https://bamboofox.github.io/)
Sajibe Kanti (https://twitter.com/sajibekantibd)
Huy Kha (linkedin.com/in/huykha)
Pal Patel (https://www.linkedin.com/in/pal434/)
Pethuraj M (https://www.linkedin.com/in/pethu/)
Ali Ashber (https://www.facebook.com/aliashber7)
Muzammil Abbas Kayani (@muzammilabbas2 )
Tayyab Qadir (facebook.com/tqMr.EditOr)
Babar Khan Akhunzada (www.SecurityWall.co)
Mahad Ahmed (https://octadev.com.pk)
JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
Mubassir Kamdar (http://www.mubassirkamdar.com)
Daniel Díez Tainta (https://twitter.com/danilabs)
Tushar Rawool (twitter.com/tkrawool)
Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
Ashish Kunwar (twitter: @D0rkerDevil)
Steven Hampton (Twitter: @Keritzy, https://stevenh.neocities.org/)
Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
Roopak Voleti (https://m.facebook.com/sairoopak.voleti)