Программа Security Bug Bounty
Поскольку угрозы развиваются и растут как по частоте, так и по сложности, компания Synology сотрудничает со специалистами по безопасности, чтобы поддерживать и укреплять нашу защиту.
Продукты, участвующие в программеВ рамках данной программы принимаются только отчеты об уязвимостях, связанных с продуктами и веб-службами Synology. Отчеты об уязвимостях, выходящих за рамки программы, обычно не дают права на вознаграждение; однако в зависимости от ситуации такие отчеты могут приниматься, если уязвимость является критической.

Операционные системы

Бонусы в размере до

$30 000

Включает Synology DiskStation Manager, Synology Router Manager и Synology BeeStation.

Подробнее

Программное обеспечение и облачные службы C2

Бонусы в размере до

$10 000

Включает пакеты программного обеспечения, разработанные компанией Synology, связанные мобильные приложения и облачные службы C2.

Подробнее

Веб-службы

Бонусы в размере до

$5000

Включает все основные веб-службы Synology.

Подробнее
Сведения о бонусах
Критерии предоставления бонусов
Предоставьте информацию, необходимую для воспроизведения обнаруженных проблем. Размер каждого бонуса зависит от серьезности обнаруженной уязвимости и категории продуктов, которая ей подвержена.Чтобы претендовать на денежное вознаграждение, отчеты должны соответствовать следующим критериям:
  1. Вы — первый специалист, сообщивший об этой уязвимости
  2. Подтверждено, что уязвимость, о которой вы сообщили, поддается проверке, воспроизводится и является действительной проблемой безопасности
  3. Ваш отчет соответствует положениям и правилам программы поощрений
Сообщение об ошибках безопасностиЕсли вы считаете, что обнаружили уязвимость, выполните следующие действия:
Шаг 1

Свяжитесь с нами, используя контактную форму программы поощрений.

Шаг 2

При отправке отчетов об ошибках в Synology используйте этот ключ PGP для шифрования информации.

Шаг 3

Включите в отчет детальное подтверждение концепции и убедитесь, что обнаруженные ошибки можно воспроизвести.

Шаг 4

Описание должно быть кратким и содержательным. Например, короткая ссылка для подтверждения концепции ценится выше, чем видео, объясняющее последствия проблемы SSRF.

Ваши и наши обязанностиВаш отчетДля сокращения времени обработки хороший отчет об уязвимости должен соответствовать следующим критериям:
  1. Содержать четкое пошаговое описание процедуры воспроизведения этой уязвимости на английском языке
  2. Демонстрировать, как уязвимость влияет на продукты или веб-службы Synology, а также содержать описание уязвимых версий и платформ
  3. Указывать ущерб, который может причинить обнаруженная уязвимость
Наш ответ
Команда по обеспечению безопасности Synology ответит на ваш отчет в течение 7 дней, будет регулярно обновлять статус и устранит уязвимость в максимально короткие сроки, в зависимости от серьезности угрозы.Если ваш отчет об уязвимости соответствует критериям получения денежного вознаграждения, в знак нашей признательности ваше имя будет указано на странице инструкций по безопасности продуктов Synology на нашем официальном веб-сайте.Этот процесс займет не менее 90 дней. Вознаграждение будет переведено вам после завершения процесса.
Примечания.Компания Synology оставляет за собой право в любое время и без предварительного уведомления изменить или отменить данную программу, включая ее политики.
Операционные системы
Вознаграждение

За квалифицированные отчеты будут предоставлены бонусы в размере до $30 000*.

Продукты, участвующие в программе

Принимаются только отчеты об официально выпущенных версиях.

DiskStation Manager (DSM)

  • DSM 7 (последняя версия)

Synology Router Manager (SRM)

  • SRM 1.3 (последняя версия)

Микропрограмма Synology Camera

  • Микропрограмма 1.1 (последняя версия)

Synology BeeStation

  • ОС BeeStation 1.0 (последняя версия)
Нормативные требования и ограничения

Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство.

В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее:

  1. DoS-атаки («отказ в обслуживании») на серверы Synology или серверы пользователей
  2. Тестирование на уязвимости, которое оказывает неблагоприятное воздействие на серверы или данные Synology пользователей
  3. Физические атаки или социальная инженерия
  4. Раскрытие информации об ошибках до получения разрешения от компании Synology
  5. Некритические уязвимости в устаревших службах или продуктах
  6. Уязвимости, затрагивающие только устаревшие веб-браузеры
  7. Большинство типов атак методом перебора пароля
  8. Отраженный или пассивный межсайтовый скриптинг
  9. Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством
  10. Предоставление отчетов по сканированию уязвимостей, но не сведений о последствиях уязвимостей
  11. Указание на то, что порты по умолчанию уязвимы, без подтверждения концепции
  12. Теоретическое указание уязвимостей без конкретного подтверждения концепции
  13. Открытые перенаправления сами по себе обычно считаются просто информацией и не дают права на вознаграждение, если только они не способствуют появлению более серьезной уязвимости
  14. Отсутствующие заголовки безопасности, которые не приводят к прямому использованию уязвимости
  15. Отсутствие флагов безопасности в файлах cookie
  16. Перечисление пользователей. Отчеты, описывающие перечисление пользователей, не дают права на вознаграждение, если только вы не можете продемонстрировать отсутствие ограничений скорости для защиты наших пользователей.
* Дополнительные сведения можно найти на странице «Сведения о бонусах» веб-страницы программы по поиску уязвимостей Security Bug Bounty.
** Максимальное вознаграждение за уязвимости в SRM_LAN составляет 5000 долларов США.
*** Максимальное вознаграждение за уязвимости в микропрограмме камеры составляет 10 000 долларов США.
Программное обеспечение и облачные службы C2
Вознаграждение

За квалифицированные отчеты будут предоставлены бонусы в размере до $10 000*.

Продукты, участвующие в программе

Принимаются только отчеты об официально выпущенных версиях.

Пакеты

Пакеты программного обеспечения, разработанные компанией Synology

Клиентские приложения для настольных ПК

Приложения для Windows, macOS и Linux, разработанные компанией Synology

Мобильные приложения

Мобильные приложения для Android и iOS, разработанные компанией Synology

Учетная запись Synology

  • Домены *.account.synology.com
  • Домены *.identity.synology.com

Службы C2

Домены *.c2.synology.com

Нормативные требования и ограничения

Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство.

В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее:

  1. DoS-атаки («отказ в обслуживании») на серверы Synology или серверы пользователей
  2. Тестирование на уязвимости, которое оказывает неблагоприятное воздействие на серверы или данные Synology пользователей
  3. Физические атаки или социальная инженерия
  4. Раскрытие информации об ошибках до получения разрешения от компании Synology
  5. Некритические уязвимости в устаревших службах или продуктах
  6. Уязвимости, затрагивающие только устаревшие веб-браузеры
  7. Большинство типов атак методом перебора пароля
  8. Отраженный или пассивный межсайтовый скриптинг
  9. Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством
  10. Предоставление отчетов по сканированию уязвимостей, но не сведений о последствиях уязвимостей
  11. Указание на то, что порты по умолчанию уязвимы, без подтверждения концепции
  12. Теоретическое указание уязвимостей без конкретного подтверждения концепции
  13. Открытые перенаправления сами по себе обычно считаются просто информацией и не дают права на вознаграждение, если только они не способствуют появлению более серьезной уязвимости
  14. Отсутствующие заголовки безопасности, которые не приводят к прямому использованию уязвимости
  15. Отсутствие флагов безопасности в файлах cookie
  16. Перечисление пользователей. Отчеты, описывающие перечисление пользователей, не дают права на вознаграждение, если только вы не можете продемонстрировать отсутствие ограничений скорости для защиты наших пользователей.
* Дополнительные сведения можно найти на странице «Сведения о бонусах» веб-страницы программы по поиску уязвимостей Security Bug Bounty.
Веб-службы
Вознаграждение

За квалифицированные отчеты будут предоставлены бонусы в размере до $5000*.

Продукты, участвующие в программе

В программе участвуют следующие домены (включая поддомены):

*.synology.com

В программе не участвуют следующие домены (включая поддомены):

openstack-ci-logs.synology.com, router.synology.com

Компания Synology оставляет за собой право вносить изменения в этот список в любое время без предварительного уведомления.

Нормативные требования и ограничения

Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство.

В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее:

  1. DoS-атаки («отказ в обслуживании») на серверы Synology или серверы пользователей
  2. Тестирование на уязвимости, которое оказывает неблагоприятное воздействие на серверы или данные Synology пользователей
  3. Физические атаки или социальная инженерия
  4. Раскрытие информации об ошибках до получения разрешения от компании Synology
  5. Обход каталогов в домене https://*archive.synology.com
  6. «Отраженное» скачивание файлов
  7. Проблемы, связанные с захватом баннеров или раскрытием версии программного обеспечения
  8. Уязвимости нулевого дня, обнаруженные в пределах 90 дней
  9. Некритические уязвимости в устаревших службах или продуктах
  10. Уязвимости, затрагивающие только устаревшие веб-браузеры
  11. Большинство типов атак методом перебора пароля
  12. Отраженный или пассивный межсайтовый скриптинг
  13. Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством
  14. Предоставление отчетов по сканированию уязвимостей, но не сведений о последствиях уязвимостей
  15. Указание на то, что порты по умолчанию уязвимы, без подтверждения концепции
  16. Теоретическое указание уязвимостей без конкретного подтверждения концепции
  17. Открытые перенаправления сами по себе обычно считаются просто информацией и не дают права на вознаграждение, если только они не способствуют появлению более серьезной уязвимости
  18. Отсутствующие заголовки безопасности, которые не приводят к прямому использованию уязвимости
  19. Отсутствие флагов безопасности в файлах cookie
  20. Перечисление пользователей. Отчеты, описывающие перечисление пользователей, не дают права на вознаграждение, если только вы не можете продемонстрировать отсутствие ограничений скорости для защиты наших пользователей.
* Дополнительные сведения можно найти на странице «Сведения о бонусах» веб-страницы программы по поиску уязвимостей Security Bug Bounty.
Сведения о бонусах
На этой странице представлена информация о максимальных бонусах, которые могут получить специалисты по безопасности за определенные типы уязвимостей, а также указаны типы уязвимостей, наиболее значимые для компании Synology. Мы ценим ваш вклад и стремимся должным образом вознаграждать за важные исследования в области безопасности.В таблице указаны максимально возможные бонусы для каждой категории, однако не за каждый квалифицированный отчет будет гарантированно предоставлена указанная сумма*.
Критичные
Операционные системыПрограммное обеспечение и облачные службы C2Веб-службы
Zero-click pre-auth RCE$30 000$10 000$5000
Zero-click pre-auth arbitrary file r/w$9000$4600$2400
Важные
Операционные системыПрограммное обеспечение и облачные службы C2Веб-службы
1-click pre-auth RCE$8000$4000$2000
Zero-click normal-user-auth RCE$7500$3900$1900
Zero-click normal-user-auth arbitrary file r/w$6500$3400$1700
Zero-click pre-auth RCE (AC:H)$6500$3400$1700
1-click pre-auth RCE (AC:H)$5000$2500$1325
pre-auth SQL injection$3800$1950$1025
1-click normal-user-auth RCE (AC:H)$2600$1350$725
pre-auth stored XSS$2600$1350$725
Умеренные
Операционные системыПрограммное обеспечение и облачные службы C2Веб-службы
normal-user-auth stored XSS$1350$733$417
normal-user-auth SQL injection$1200$607$353
admin-auth vulnerabilities$100$100$100
1. Начиная с 1 октября 2024 года вознаграждения за уязвимости admin-auth будут установлены на уровне $100 USD.

Примечания.

  • Обратите внимание: хотя примерный план бонусов указан, все отчеты рассматриваются по отдельности и детально оцениваются. При оценке учитываются различные факторы, включая, помимо прочего, продукты, участвующие в программе, которые указаны в разделе бонусов. Компания Synology оставляет за собой право на окончательную интерпретацию сумм бонусов.
  • Для проблем, классифицированных как проблемы с низкой степенью серьезности или предложения, будут предоставлены только подтверждения.
Часто задаваемые вопросыКак сообщить об уязвимости?Предоставьте детальное подтверждение концепции и убедитесь, что обнаруженные ошибки можно воспроизвести. При отправке нам отчетов об ошибках используйте это шифрование ключей PGP, предлагаемое компанией Synology, и не раскрывайте соответствующую информацию третьим лицам.Кто определяет, могу ли я получить бонус за мой отчет?Все отчеты об ошибках просматриваются и оцениваются командой по обеспечению безопасности Synology, в состав которой входят старшие аналитики по вопросам безопасности Synology.Каковы последствия публичного раскрытия информации об ошибке до ее устранения?Мы стараемся оперативно реагировать на отчеты об ошибках и исправлять эти ошибки в разумные сроки. Перед публичным раскрытием информации об ошибке уведомите нас об этом заранее. В случае любого раскрытия информации об ошибке без выполнения этого требования бонус не будет предоставлен.Можно ли получить бонус за уязвимости, обнаруженные в устаревшем программном обеспечении, например Apache или Nginx?Определите уязвимости в программном обеспечении и объясните, почему они могут негативно повлиять на его использование. За отчеты, не содержащие такой информации, вознаграждение обычно не предоставляется.Можно ли попросить не указывать мое имя на странице инструкций по безопасности Synology?Да. Вы можете попросить не указывать ваше имя на нашей странице инструкций по безопасности. Однако, если вы имеете право на получение бонуса и хотите получить его, нам потребуется ваша контактная информация для обработки платежа.Можно ли получить бонус за уязвимости, если информация о них была передана брокерам уязвимостей?Раскрытие информации об уязвимости в частном порядке третьим лицам в целях, отличных от исправления ошибок, противоречит духу нашей программы. Поэтому за такие отчеты бонус не предоставляется.Кто получит бонус, если об одной и той же ошибке сообщат несколько человек?Бонус предоставляется первому лицу, обнаружившему ранее неизвестную нам уязвимость.
БлагодарностьМы хотим отдать должное специалистам по безопасности и организациям, которые нам помогли.
  • 2024
  • 2023
  • 2022
  • 2021
  • 2020
  • 2019
  • 2018
  • 2017
  • Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
  • Tim Coen (https://security-consulting.icu/)
  • Mykola Grymalyuk from RIPEDA Consulting
  • Zhao Runzi (赵润梓)
  • Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
  • Offensive Security Research @ Ronin (https://ronin.ae/)
  • Nathan (Yama) https://DontClickThis.run
  • M Tayyab Iqbal (www.alphainferno.com)
  • Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
  • Wonbeen Im, STEALIEN (https://stealien.com)
  • 赵润梓、李建申（https://lsr00ter.github.io）
  • Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
  • Steven Lin (https://x.com/5teven1in)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
  • Mohd Ali (revengerali)
  • Orange Tsai (@orange_8361) from DEVCORE Research Team
  • Bocheng Xiang with FDU(@crispr)
  • HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
  • Hydrobikz (https://www.linkedin.com/in/bikash-)
  • Can Acar (https://imcan.dev)
  • Yves Bieri of Compass Security (https://www.compass-security.com)
  • DEVCORE Research Team (https://devco.re/)
  • aoxsin (https://twitter.com/aoxsin)
  • Endure Secure (https://endsec.au)
  • Stephen Argent (https://www.runby.coffee/)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
  • Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
  • Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
  • chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
  • Bruce Chen (https://twitter.com/bruce30262)
  • aoxsin (https://twitter.com/aoxsin)
  • Armanul Miraz
  • Jaehoon Jang, STEALIEN (https://stealien.com)
  • Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
  • Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
  • Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
  • Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
  • Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
  • TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
  • Tim Coen (https://security-consulting.icu)
  • TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
  • Zhao Runzi (赵润梓)
  • Kevin Wang (https://twitter.com/kevingwn_ )
  • Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
  • Safwat Refaat (@Caesar302)
  • Jeffrey Baker (www.Biznet.net)
  • Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
  • Ravi (https://twitter.com/itsrvsinghh)
  • remonsec (https://twitter.com/remonsec)
  • TheLabda (https://thelabda.com)
  • Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
  • pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
  • Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
  • Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
  • Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
  • Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
  • Sivanesh kumar (https://twitter.com/sivanesh_hacker)
  • Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
  • @aoxsin (https://twitter.com/aoxsin)
  • Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
  • Hasibul Hasan Shawon (@Saiyan0x01)
  • Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
  • Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
  • Lukas Kupczyk, CrowdStrike Intelligence
  • Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
  • Zhao Runzi (赵润梓)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at Qi'anxin Group
  • Patrik Fabian (https://websafe.hu)
  • Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
  • Jeenika Anadani (https://twitter.com/j33n1k4)
  • waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
  • Milan katwal (https://www.milankatwal.com.np/)
  • N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
  • Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
  • Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
  • Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
  • Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
  • Yimi Hu@baidu.com
  • Raman R Mohurle (https://twitter.com/Raman_Mohurle)
  • cmj (http://blog.cmj.tw/)
  • Parth Manek
  • Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
  • Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
  • Dennis Herrmann (Code White GmbH)
  • Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
  • Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
  • Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
  • Devender Rao (https://www.linkedin.com/in/devender-rao)
  • RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
  • Atharv Shejwal (https://kongsec.io)
  • Xavier DANEST (https://sustainability.decathlon.com/)
  • Aditya Shende (http://kongsec.io)
  • Andreas Rothenbacher (https://error401.de)
  • Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
  • Suraj SK (https://www.linkedin.com/in/suraj-sk/)
  • Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
  • Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
  • Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
  • Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
  • Touhid Shaikh (https://securityium.com/)
  • N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
  • Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
  • Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
  • ddaa of TrapaSecurity (https://twitter.com/0xddaa)
  • Praveen Kumar
  • Oscar Spierings (https://polyform.dev)
  • Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
  • swings of Chaitin Security Research Lab
  • Hasibul Hasan Rifat (https://twitter.com/rifatsec)
  • Lanni
  • Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
  • Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)
  • Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
  • Lanni
  • Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
  • Vladislav Akimenko (Digital Security) (https://dsec.ru)
  • Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
  • Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
  • Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
  • Aditya Soni (https://www.linkedin.com/in/adtyasoni)
  • Mansoor Amjad (https://twitter.com/TheOutcastCoder)
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady)
  • James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
  • Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
  • Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
  • Mehedi Hasan Remon (twitter.com/remonsec)
  • Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
  • Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
  • Mohammed Eldawody (www.fb.com/eldawody0)
  • YoKo Kho (https://twitter.com/YoKoAcc)
  • Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
  • Tinu Tomy (https://twitter.com/tinurock007)
  • Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
  • Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
  • Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
  • Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
  • Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
  • Agrah Jain (www.linkedin.com/in/agrahjain)
  • Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
  • Pratik Vinod Yadav (https://twitter.com/PratikY9967)
  • Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
  • Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
  • Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
  • Jan KOPEC(https://twitter.com/blogresponder)
  • Denis Burtanović
  • Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
  • Georg Delp (https://www.linkedin.com/in/georgdelp/)
  • R Atik Islam (https://www.facebook.com/atik.islam.14661)
  • Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
  • Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
  • Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
  • Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
  • Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
  • Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
  • Kitab Ahmed (www.ahmed.science)
  • Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
  • Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
  • Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
  • Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
  • Rushi Gayakwad
  • Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
  • Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
  • Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
  • Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
  • Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
  • Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
  • Sumit Jain (https://twitter.com/sumit_cfe)
  • Qian Chen of Qihoo 360 Nirvan Team
  • Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
  • Zhong Zhaochen
  • Tomasz Grabowski
  • Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
  • Safwat Refaat (https://twitter.com/Caesar302)
  • Agent22 (https://securelayer7.net/)
  • Hsiao-Yung Chen
  • Rich Mirch (https://blog.mirch.io)
  • Ronak Nahar (https://www.linkedin.com/in/naharronak/)
  • Noman Shaikh (https://twitter.com/nomanAli181)
  • David Deller (https://horizon-nigh.org)
  • Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
  • Touhid M Shaikh (https://touhidshaikh.com)
  • Abhishek Gaikwad
  • Kitabuddin Ahmed
  • Noman Shaikh (https://twitter.com/nomanAli181)
  • Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
  • Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
  • Dan Thomsen (www.thomsen.fo)
  • Erik de Jong (https://eriknl.github.io)
  • Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
  • AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
  • Hasibul Hasan (SecMiner)
  • Mohammed Eldawody (www.fb.com/eldawody0)
  • Chris Schneider
  • Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
  • Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
  • Axel Peters
  • Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
  • Kyle Green
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady)
  • Dankel Ahmed (https://hackerone.com/kitab)
  • ShuangYY
  • HackTrack Security
  • Muhammed Ashmil K K (Kavuthukandiyil)
  • Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
  • Kishan kumar (https://facebook.com/noobieboy007)
  • Lays (http://l4ys.tw)
  • Ashish Kumar (https://www.facebook.com/buggyashish)
  • Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
  • Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
  • Ifrah Iman (http://www.ifrahiman.com)
  • Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
  • Taien Wang (https://www.linkedin.com/in/taienwang/)
  • Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
  • குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
  • Yasser Gersy (https://twitter.com/yassergersy)
  • Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady)
  • Oliver Kramer (https://www.linkedin.com/in/oliver-kramer-670206b5)
  • 1N3@CrowdShield (https://crowdshield.com)
  • louys, Xie Wei (解炜), Li Yanlong (李衍龙)
  • Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
  • Ali Razzaq (https://twitter.com/AliRazzaq_)
  • 丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
  • Alex Weber (www.broot.ca)
  • Alex Bastrakov (https://twitter.com/kazan71p)
  • Mehidia Tania (https://www.beetles.io)
  • freetsubasa (https://twitter.com/freetsubasa)
  • Łukasz Rutkowski (http://www.forit.pl/)
  • Maximilian Tews (www.linkedin.com/in/maximilian-tews)
  • Bryan Galao (https://www.facebook.com/xbryan.galao)
  • Jim Zhou (vip-cloud.cn)
  • Chun Han Hsiao
  • Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
  • Olivier Bédard
  • Mohamed Eldawody (https://www.facebook.com/Eldawody0)
  • Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
  • 郑吉宏通过 GeekPwn 平台提交
  • Independent Security Evaluators (ISE) labs
  • Independent security researcher, MengHuan Yu, has reported this vulnerability to Beyond Security’s SecuriTeam Secure Disclosure program
  • B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
  • Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
  • Uriya Yavnieli from VDOO (https://vdoo.com)
  • Jung Chan Hyeok
  • Zhong Zhaochen (http://asnine.com)
  • Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
  • Sumit Jain
  • Ketankumar B. Godhani (https://twitter.com/KBGodhani)
  • karthickumar (Ramanathapuram)
  • Alireza Azimzadeh Milani
  • Taien Wang (https://www.facebook.com/taien.tw)
  • Frédéric Crozat (http://blog.crozat.net/)
  • Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
  • SSD/Kacper Szurek
  • Alexander Drabek (https://www.2-sec.com/)
  • RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
  • Kushal Arvind Shah of Fortinet’s FortiGuard Labs
  • Alvin Poon (https://alvinpoon.myportfolio.com/)
  • C.shahidyan, C.Akilan, K.Sai Aswanth
  • BambooFox (https://bamboofox.github.io/)
  • Sajibe Kanti (https://twitter.com/sajibekantibd)
  • Huy Kha (linkedin.com/in/huykha)
  • Pal Patel (https://www.linkedin.com/in/pal434/)
  • Pethuraj M (https://www.linkedin.com/in/pethu/)
  • Ali Ashber (https://www.facebook.com/aliashber7)
  • Muzammil Abbas Kayani (@muzammilabbas2 )
  • Tayyab Qadir (facebook.com/tqMr.EditOr)
  • Babar Khan Akhunzada (www.SecurityWall.co)
  • Mahad Ahmed (https://octadev.com.pk)
  • JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
  • Mubassir Kamdar (http://www.mubassirkamdar.com)
  • Daniel Díez Tainta (https://twitter.com/danilabs)
  • Tushar Rawool (twitter.com/tkrawool)
  • Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
  • Ashish Kunwar (twitter: @D0rkerDevil)
  • Steven Hampton (Twitter: @Keritzy, https://stevenh.neocities.org/)
  • Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
  • Roopak Voleti (https://m.facebook.com/sairoopak.voleti)