Security Bug Bounty Program

Ürün kapsamı

Bu program yalnızca Synology'nin ürünleri ve web hizmetleri ile ilgili güvenlik açığı raporlarını kabul eder. Programın kapsamı dışında kalan güvenlik açığı raporları genellikle ödül için uygun değildir; ancak, duruma bağlı olarak kritik güvenlik açıklarının dışında kalan raporlar kabul edilebilir.

İşletim sistemleri

Kadar ödüller

US $30,000

Synology DiskStation Manager, Synology Router Manager ve Synology BeeStation içerir.

Daha fazla bilgi

Yazılım ve C2 bulut hizmetleri

Kadar ödüller

US $10,000

Synology tarafından geliştirilen yazılım paketleri, ilgili mobil uygulamalar ve C2 bulut hizmetlerini içerir.

Daha fazla bilgi

Web hizmetleri

Kadar ödüller

US $10,000

Tüm önemli Synology web hizmetlerini içerir.

Daha fazla bilgi

Ödül Detayları

Ödül uygunluk kriterleri

Rapor edilen sorunları tekrar üretebilmemiz için gerekli olan tüm bilgileri sağlayın. Her ödülün büyüklüğü, rapor edilen güvenlik açığının ciddiyetine ve etkilenen ürün kategorisine bağlıdır.

Parasal ödüller için uygunluk, raporlar aşağıdaki kriterleri karşılamalıdır:

Bu güvenlik açığını rapor eden ilk araştırmacı sizsiniz
Rapor edilen güvenlik açığı doğrulanabilir, tekrarlanabilir ve geçerli bir güvenlik sorunu olduğu onaylanmıştır
Raporunuz, Ödül Programı'nın şartlarına ve yönetmeliklerine uygunluk gösterir

Güvenlik hatalarını raporlama

Bir güvenlik açığı bulduğunuzu düşünüyorsanız, lütfen aşağıdaki adımları izleyin:

Adım 1

Ödül Programı iletişim formu kullanarak bize ulaşın.

Adım 2

Hata raporlarını Synology'ye gönderirken bilgilerinizi şifrelemek için bu PGP anahtarını kullanın.

Adım 3

Kapsamlı bir Kanıt Konsepti (PoC) ekleyin ve rapor edilen sorunların tekrar üretilebildiğinden emin olun.

Adım 4

Açıklamanızı öz ve net tutun. Örneğin, kısa bir kanıt-konsept bağlantısı, bir SSRF sorununun sonuçlarını açıklayan bir videoya göre daha değerlidir.

Sorumluluklarınız ve bizim sorumluluklarımız

Raporunuz

İyi bir güvenlik açığı raporu, işlem süremizi azaltmak için:

Açıkça yazılmış adım adım açıklama içermelidir İngilizce güvenlik açığını nasıl tekrar üretebileceğinizi
Synology ürünlerini veya web hizmetlerini nasıl etkilediğini göstermeli ve hangi sürümlerin ve platformların etkilendiğini açıklamalıdır
Rapor edilen güvenlik açığının potansiyel zararını belirtmelidir

Cevabımız

Synology Güvenlik Ekibi, raporunuza 7 gün içinde yanıt verecek ve tehdidin ciddiyetine bağlı olarak durumu düzenli olarak güncelleyecek ve güvenlik açığını mümkün olan en kısa sürede düzeltecektir.

Eğer güvenlik açığı raporunuz maddi bir ödül kazanmaya hak kazanırsa, adınız takdirimizin bir göstergesi olarak resmi web sitemizdeki Synology Ürün Güvenlik Danışma sayfasında listelenecektir.

Bu süreç en az 90 gün sürecektir. Süreç tamamlandığında ödülünüz size aktarılacaktır.

Notlar:Synology, bu programı ve politikalarını, önceden haber vermeksizin, her zaman değiştirme veya iptal etme hakkını saklı tutar.

İşletim sistemleri

Ödül	Uygun raporlar, US$30,000'a kadar ödül kazanmaya hak kazanır.*
Kapsam içindeki ürünler	Yalnızca resmi olarak yayınlanmış sürümler hakkında raporlar kabul edilir. DiskStation Manager (DSM) DSM 7 (en son sürüm) Synology Router Manager (SRM) SRM 1.3 (en son sürüm) Synology Kamera yazılımı Firmware 1.1 (en son sürüm) Synology BeeStation BeeStation OS 1.0 (son sürüm)
Düzenlemeler ve kısıtlamalar	Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıklarına sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zararlı etkileyebilecek eylemler kesinlikle yasaktır. Güvenlik açığı testi, yerel veya Tayvan yasalarını ihlal etmemelidir. Program kapsamında kabul edilmeyen güvenlik açığı raporları, açıklanmış veya içeren durumları şunları içerir: Synology'nin veya kullanıcıların sunucularına yönelik DoS (Hizmet Dışı Bırakma) saldırıları Synology'nin veya kullanıcıların sunucularına veya verilerine zarar veren güvenlik açığı testleri Fiziksel saldırılar veya sosyal mühendislik Synology tarafından onaylanmadan hata bilgilerinin açıklanması Eski hizmetlerde veya ürünlerde kritik olmayan güvenlik açıkları Sadece eski web tarayıcılarını etkileyen güvenlik açıkları Çoğu türde kaba kuvvet saldırısı Yansıtılmış XSS saldırıları veya Kendi Kendine XSS saldırıları Phishing, sahte web siteleri oluşturma veya dolandırıcılık içeren güvenlik açıkları Güvenlik açığının etkilerini detaylandırmayan güvenlik tarama raporları Varsayılan portların güvenlik açığına sahip olduğuna dair işaretler, ancak bir PoC sağlamadan li>Somut Bir Konsept Kanıtı (PoC) olmayan teorik güvenlik açıkları Tek başına açık yönlendirmeler genellikle bilgilendirici olarak kabul edilir ve daha önemli bir güvenlik açığına katkıda bulunmadıkça ödül için uygun değildir Doğrudan sömürüye yol açmayan güvenlik başlıklarının eksikliği Çerezlerde güvenlik bayraklarının eksikliği Kullanıcı numaralandırması. Kullanıcı numaralandırmasını açıklayan raporlar, kullanıcılarımızı korumak için herhangi bir hız sınırımız olmadığını gösteremediğiniz sürece kapsam dışındadır.

Ödül

Uygun raporlar, US$30,000'a kadar ödül kazanmaya hak kazanır.*

Kapsam içindeki ürünler

Yalnızca resmi olarak yayınlanmış sürümler hakkında raporlar kabul edilir.

DiskStation Manager (DSM)

DSM 7 (en son sürüm)

Synology Router Manager (SRM)

SRM 1.3 (en son sürüm)

Synology Kamera yazılımı

Firmware 1.1 (en son sürüm)

Synology BeeStation

BeeStation OS 1.0 (son sürüm)

Düzenlemeler ve kısıtlamalar

Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıklarına sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zararlı etkileyebilecek eylemler kesinlikle yasaktır. Güvenlik açığı testi, yerel veya Tayvan yasalarını ihlal etmemelidir.

Program kapsamında kabul edilmeyen güvenlik açığı raporları, açıklanmış veya içeren durumları şunları içerir:

Synology'nin veya kullanıcıların sunucularına yönelik DoS (Hizmet Dışı Bırakma) saldırıları
Synology'nin veya kullanıcıların sunucularına veya verilerine zarar veren güvenlik açığı testleri
Fiziksel saldırılar veya sosyal mühendislik
Synology tarafından onaylanmadan hata bilgilerinin açıklanması
Eski hizmetlerde veya ürünlerde kritik olmayan güvenlik açıkları
Sadece eski web tarayıcılarını etkileyen güvenlik açıkları
Çoğu türde kaba kuvvet saldırısı
Yansıtılmış XSS saldırıları veya Kendi Kendine XSS saldırıları
Phishing, sahte web siteleri oluşturma veya dolandırıcılık içeren güvenlik açıkları
Güvenlik açığının etkilerini detaylandırmayan güvenlik tarama raporları
Varsayılan portların güvenlik açığına sahip olduğuna dair işaretler, ancak bir PoC sağlamadan
Tek başına açık yönlendirmeler genellikle bilgilendirici olarak kabul edilir ve daha önemli bir güvenlik açığına katkıda bulunmadıkça ödül için uygun değildir
Doğrudan sömürüye yol açmayan güvenlik başlıklarının eksikliği
Çerezlerde güvenlik bayraklarının eksikliği
Kullanıcı numaralandırması. Kullanıcı numaralandırmasını açıklayan raporlar, kullanıcılarımızı korumak için herhangi bir hız sınırımız olmadığını gösteremediğiniz sürece kapsam dışındadır.

*Daha fazla ayrıntı için Güvenlik Hata Programı web sayfasındaki Ödül Ayrıntıları sayfasına bakın.
**SRM_LAN'deki güvenlik açıkları için maksimum ödül $5,000.
***Kamera yazılımındaki güvenlik açıkları için maksimum ödül $10,000.

Yazılım ve C2 bulut hizmetleri

Ödül	Uygun raporlar 10.000 ABD dolarına kadar ödül kazanabilir.*
Kapsam içindeki ürünler	Yalnızca resmi olarak yayınlanmış sürümler hakkında raporlar kabul edilir. Paketler Synology tarafından geliştirilen yazılım paketleri Masaüstü istemcileri Synology tarafından geliştirilen Windows, macOS ve Linux uygulamaları Mobil uygulamalar Synology tarafından geliştirilen Android ve iOS için mobil uygulamalar Synology Hesabı .account.synology.com alanları .identity.synology.com alanları C2 hizmetleri *.c2.synology.com alanları
Düzenlemeler ve kısıtlamalar	Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıkları ile sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zarar verebilecek eylemler kesinlikle yasaktır. Güvenlik açığı testleri yerel veya Tayvan yasalarını ihlal etmemelidir. Program kapsamında kabul edilmeyen güvenlik raporları, açıklanan veya içeren durumları şu şekilde tanımlar: Synology'nin veya kullanıcıların sunucularına yönelik DoS (Hizmet Dışı Bırakma) saldırıları Synology'nin veya kullanıcıların sunucularına veya verilerine zarar veren güvenlik açığı testleri Fiziksel saldırılar veya sosyal mühendislik Synology tarafından onaylanmadan hata bilgilerinin açıklanması Eski hizmetlerde veya ürünlerde kritik olmayan güvenlik açıkları Sadece eski web tarayıcılarını etkileyen güvenlik açıkları Çoğu türde kaba kuvvet saldırısı Yansıtılmış XSS saldırıları veya Kendi Kendine XSS saldırıları Phishing, sahte web siteleri oluşturma veya dolandırıcılık içeren güvenlik açıkları Güvenlik açığının etkilerini detaylandırmayan güvenlik tarama raporları Varsayılan portların güvenlik açığına sahip olduğuna dair işaretler, ancak bir PoC sağlamadan Somut Bir Konsept Kanıtı (PoC) olmayan teorik güvenlik açıkları Tek başına açık yönlendirmeler genellikle bilgilendirici olarak kabul edilir ve daha önemli bir güvenlik açığına katkıda bulunmadıkça ödül için uygun değildir Doğrudan sömürüye yol açmayan güvenlik başlıklarının eksikliği Çerezlerde güvenlik bayraklarının eksikliği Kullanıcı numaralandırması. Kullanıcı numaralandırmasını açıklayan raporlar, kullanıcılarımızı korumak için herhangi bir hız sınırımız olmadığını gösteremediğiniz sürece kapsam dışındadır.

Ödül

Uygun raporlar 10.000 ABD dolarına kadar ödül kazanabilir.*

Kapsam içindeki ürünler

Yalnızca resmi olarak yayınlanmış sürümler hakkında raporlar kabul edilir.

Paketler

Synology tarafından geliştirilen yazılım paketleri

Masaüstü istemcileri

Synology tarafından geliştirilen Windows, macOS ve Linux uygulamaları

Mobil uygulamalar

Synology tarafından geliştirilen Android ve iOS için mobil uygulamalar

Synology Hesabı

*.account.synology.com alanları
*.identity.synology.com alanları

C2 hizmetleri

*.c2.synology.com alanları

Düzenlemeler ve kısıtlamalar

Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıkları ile sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zarar verebilecek eylemler kesinlikle yasaktır. Güvenlik açığı testleri yerel veya Tayvan yasalarını ihlal etmemelidir.

Program kapsamında kabul edilmeyen güvenlik raporları, açıklanan veya içeren durumları şu şekilde tanımlar:

Synology'nin veya kullanıcıların sunucularına yönelik DoS (Hizmet Dışı Bırakma) saldırıları
Synology'nin veya kullanıcıların sunucularına veya verilerine zarar veren güvenlik açığı testleri
Fiziksel saldırılar veya sosyal mühendislik
Synology tarafından onaylanmadan hata bilgilerinin açıklanması
Eski hizmetlerde veya ürünlerde kritik olmayan güvenlik açıkları
Sadece eski web tarayıcılarını etkileyen güvenlik açıkları
Çoğu türde kaba kuvvet saldırısı
Yansıtılmış XSS saldırıları veya Kendi Kendine XSS saldırıları
Phishing, sahte web siteleri oluşturma veya dolandırıcılık içeren güvenlik açıkları
Güvenlik açığının etkilerini detaylandırmayan güvenlik tarama raporları
Varsayılan portların güvenlik açığına sahip olduğuna dair işaretler, ancak bir PoC sağlamadan
Somut Bir Konsept Kanıtı (PoC) olmayan teorik güvenlik açıkları
Tek başına açık yönlendirmeler genellikle bilgilendirici olarak kabul edilir ve daha önemli bir güvenlik açığına katkıda bulunmadıkça ödül için uygun değildir
Doğrudan sömürüye yol açmayan güvenlik başlıklarının eksikliği
Çerezlerde güvenlik bayraklarının eksikliği
Kullanıcı numaralandırması. Kullanıcı numaralandırmasını açıklayan raporlar, kullanıcılarımızı korumak için herhangi bir hız sınırımız olmadığını gösteremediğiniz sürece kapsam dışındadır.

*Daha fazla detay için Güvenlik Hata Programı web sayfasındaki Ödül Detayları sayfasına bakınız.

Web hizmetleri

Ödül	Uygun raporlar 5.000 ABD dolarına kadar ödül kazanabilir.*
Kapsam içindeki ürünler	Kapsam içinde olan alanlar (alt alanlar dahil): *.synology.com Aşağıdaki alan adları (alt alanlar dahil) kapsam dışındadır: openstack-ci-logs.synology.com, router.synology.com Synology bu listeyi önceden haber vermeden değiştirme hakkını saklı tutar.
Yönetmelikler ve kısıtlamalar	Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıklarına sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zararlı etkilerde bulunabilecek eylemler kesinlikle yasaktır. Güvenlik açığı testleri yerel veya Tayvan yasalarını ihlal etmemelidir. Program kapsamında kabul edilmeyen güvenlik açığı raporları aşağıdakileri açıklar veya içerir: DoS (Hizmet Reddi) saldırıları Synology’nin veya kullanıcıların sunucularına Synology’nin veya kullanıcıların sunucularına veya verilerine zararlı güvenlik açığı testleri Fiziksel saldırılar veya sosyal mühendislik Synology tarafından onaylanmadan hata bilgilerinin açıklanması https://*archive.synology.com adresinde dizin gezintisi Yansıtılmış dosya indirme Yazılım sürüm bilgilerinin ifşası veya banner kapma sorunları 90 gün içinde açıklanan 0-day güvenlik açığı Eski hizmetlerde veya ürünlerde kritik olmayan güvenlik açıkları Yalnızca eski web tarayıcılarını etkileyen güvenlik açıkları Çoğu türde kaba kuvvet saldırısı Yansıtılmış XSS saldırıları veya Kendi Kendine XSS saldırıları Dolandırıcılık yapma, sahte web siteleri oluşturma veya phishing ile ilgili güvenlik açıkları Güvenlik açığının etkilerini detaylandırmayan güvenlik tarama raporları Varsayılan portların güvenlik açığına sahip olduğunu gösteren işaretler, ancak PoC sağlamadan li>Somut Kanıt Konsepti (PoC) olmayan teorik güvenlik açıkları Tek başına açık yönlendirmeler genellikle bilgilendirici olarak kabul edilir ve daha önemli bir güvenlik açığına katkıda bulunmadıkça ödül için uygun değildir Doğrudan sömürüye yol açmayan eksik güvenlik başlıkları Çerezlerde eksik güvenlik bayrakları Kullanıcı numaralandırması. Kullanıcı numaralandırmasını açıklayan raporlar, kullanıcılarımızı korumak için herhangi bir hız sınırımız olmadığını gösteremediğiniz sürece kapsam içinde değildir.

Ödül

Uygun raporlar 5.000 ABD dolarına kadar ödül kazanabilir.*

Kapsam içindeki ürünler

Kapsam içinde olan alanlar (alt alanlar dahil):

*.synology.com

Aşağıdaki alan adları (alt alanlar dahil) kapsam dışındadır:

openstack-ci-logs.synology.com, router.synology.com

Synology bu listeyi önceden haber vermeden değiştirme hakkını saklı tutar.

Yönetmelikler ve kısıtlamalar

Bu program, yalnızca Synology ürünleri ve hizmetlerinde bulunan güvenlik açıklarına sınırlıdır. Synology sunucularına veya verilerine potansiyel olarak zarar verebilecek veya zararlı etkilerde bulunabilecek eylemler kesinlikle yasaktır. Güvenlik açığı testleri yerel veya Tayvan yasalarını ihlal etmemelidir.

Program kapsamında kabul edilmeyen güvenlik açığı raporları aşağıdakileri açıklar veya içerir:

DoS (Hizmet Reddi) saldırıları Synology’nin veya kullanıcıların sunucularına
Synology’nin veya kullanıcıların sunucularına veya verilerine zararlı güvenlik açığı testleri
Fiziksel saldırılar veya sosyal mühendislik
Synology tarafından onaylanmadan hata bilgilerinin açıklanması
https://*archive.synology.com adresinde dizin gezintisi
Yansıtılmış dosya indirme
Yazılım sürüm bilgilerinin ifşası veya banner kapma sorunları
90 gün içinde açıklanan 0-day güvenlik açığı
Eski hizmetlerde veya ürünlerde kritik olmayan güvenlik açıkları
Yalnızca eski web tarayıcılarını etkileyen güvenlik açıkları
Çoğu türde kaba kuvvet saldırısı
Yansıtılmış XSS saldırıları veya Kendi Kendine XSS saldırıları
Dolandırıcılık yapma, sahte web siteleri oluşturma veya phishing ile ilgili güvenlik açıkları
Güvenlik açığının etkilerini detaylandırmayan güvenlik tarama raporları
Varsayılan portların güvenlik açığına sahip olduğunu gösteren işaretler, ancak PoC sağlamadan
Tek başına açık yönlendirmeler genellikle bilgilendirici olarak kabul edilir ve daha önemli bir güvenlik açığına katkıda bulunmadıkça ödül için uygun değildir
Doğrudan sömürüye yol açmayan eksik güvenlik başlıkları
Çerezlerde eksik güvenlik bayrakları
Kullanıcı numaralandırması. Kullanıcı numaralandırmasını açıklayan raporlar, kullanıcılarımızı korumak için herhangi bir hız sınırımız olmadığını gösteremediğiniz sürece kapsam içinde değildir.

*Daha fazla detay için Güvenlik Hata Programı web sayfasındaki Ödül Detayları sayfasına bakınız.

Ödül detayları

Bu sayfa, araştırmacıların belirli türdeki güvenlik açıkları için potansiyel maksimum ödülleri anlamalarına yardımcı olmak ve Synology'nin en çok değer verdiği güvenlik açıkları türlerini vurgulamak için tasarlanmıştır. Katkılarınızı değerli buluyoruz ve önemli güvenlik araştırmalarını adil bir şekilde ödüllendirmeye adanmış durumdayız.

Tablodaki ödüller her kategori için mümkün olan maksimumu gösterir, ancak her uygun rapor listelenen miktarı almayı garanti etmez.*

Kritik
	İşletim sistemleri	Yazılım ve C2 bulut hizmetleri	Web hizmetleri
Zero-click pre-auth RCE	$30,000	$10,000	$5,000
Zero-click pre-auth arbitrary file r/w	$9,000	$4,600	$2,400

Önemli
	İşletim sistemleri	Yazılım ve C2 bulut hizmetleri	Web hizmetleri
1-click pre-auth RCE	$8,000	$4,000	$2,000
Zero-click normal-user-auth RCE	$7,500	$3,900	$1,900
Zero-click normal-user-auth arbitrary file r/w	$6,500	$3,400	$1,700
Zero-click pre-auth RCE (AC:H)	$6,500	$3,400	$1,700
1-click pre-auth RCE (AC:H)	$5,000	$2,500	$1,325
pre-auth SQL injection	$3,800	$1,950	$1,025
1-click normal-user-auth RCE (AC:H)	$2,600	$1,350	$725
pre-auth stored XSS	$2,600	$1,350	$725

Orta
	İşletim sistemleri	Yazılım ve C2 bulut hizmetleri	Web hizmetleri
normal-user-auth stored XSS	$1,350	$733	$417
normal-user-auth SQL injection	$1,200	$607	$353
admin-auth vulnerabilities	$100	$100	$100

1. 1 Ekim 2024 tarihinden itibaren yönetici kimlik doğrulama güvenlik açığı ödülleri 100 $ USD olarak belirlenecektir.

Notlar:

Ödüller için rehberlik sağlanmıştır, ancak her rapor bireysel olarak ele alınır ve kapsamlı bir şekilde değerlendirilir. Puanlama, ödül cetvelinde ayrıntılı olarak belirtilen kapsam dahil olmak üzere çeşitli faktörleri dikkate alır. Synology, ödül miktarlarının nihai yorum hakkını saklı tutar.
Düşük ciddiyetli sorunlar veya öneriler için sadece onaylar verilecektir.

SSS

Bir güvenlik açığını nasıl bildirmeliyim?Lütfen detaylı bir PoC (Kavram Kanıtı) sağlayın ve rapor edilen sorunların tekrar üretilebildiğinden emin olun. Bize hata raporları gönderirken Synology tarafından sunulan bu PGP anahtar şifrelemesini kullanın ve ilgili bilgileri üçüncü bir tarafa açıklamayın.Hata raporumun ödül için uygun olup olmadığını kim belirler?Tüm hata raporları, Synology’nin kıdemli güvenlik analistlerinden oluşan Synology Güvenlik Ekibi tarafından gözden geçirilir ve değerlendirilir.Bir hata düzeltilmeden önce kamuoyuna açıklanırsa sonuç ne olur?Hata raporlarına hızlı bir şekilde yanıt vermeye ve makul bir süre içinde onları düzeltmeye çalışıyoruz. Lütfen hata bilgisini kamuoyuna açıklamadan önce bizi önceden bilgilendirin. Bu ilkeyi takip etmeyen herhangi bir hata açıklaması ödül için uygun olmayacaktır.Apache veya Nginx gibi eski yazılımlarda bulunan güvenlik açıkları ödül için uygun mudur?Yazılımdaki güvenlik açıklarını belirleyin ve neden onların yazılım kullanımı için zararlı olduğundan şüphelendiğinizi açıklayın. Bu tür bilgileri içermeyen raporlar genellikle ödül için uygun değildir.Synology’nin Güvenlik Danışmanlığı sayfasında ismimin listelenmemesini talep edebilir miyim?Evet. Güvenlik Danışmanlığı sayfamızda isminizin listelenmemesini talep edebilirsiniz. Ancak, bir ödül için uygun olduğunuz ve kabul etmek istediğiniz takdirde, ödemeyi işlemek için iletişim bilgilerinize hala ihtiyacımız olacak.Güvenlik açıkları, güvenlik açığı brokerlerine bildirilirse hala ödül için uygun mudur?Bir güvenlik açığını, hata düzeltme dışındaki amaçlar için üçüncü taraflara özel olarak açıklamak, programımızın ruhuna aykırıdır. Bu nedenle, bu tür raporlar ödül için uygun olmayacaktır.Aynı hatayı birden fazla kişi bildirdiyse ödül kimin hakkı olur?Ödül, daha önce bizim tarafımızdan bilinmeyen bir güvenlik açığını keşfeden ilk kişiye verilir.

Teşekkürler

Güvenlik araştırmacılarına ve bize yardımcı olan kuruluşlara şapka çıkarmak istiyoruz.

2024
2023
2022
2021
2020
2019
2018
2017

Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
Tim Coen (https://security-consulting.icu/)
Mykola Grymalyuk from RIPEDA Consulting
Zhao Runzi (赵润梓)
Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
Offensive Security Research @ Ronin (https://ronin.ae/)
Nathan (Yama) https://DontClickThis.run
M Tayyab Iqbal (www.alphainferno.com)
Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
Wonbeen Im, STEALIEN (https://stealien.com)
赵润梓、李建申（https://lsr00ter.github.io）
Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
Steven Lin (https://x.com/5teven1in)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Mohd Ali (revengerali)
Orange Tsai (@orange_8361) from DEVCORE Research Team
Bocheng Xiang with FDU(@crispr)
HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
Hydrobikz (https://www.linkedin.com/in/bikash-)
Can Acar (https://imcan.dev)
Yves Bieri of Compass Security (https://www.compass-security.com)
DEVCORE Research Team (https://devco.re/)
aoxsin (https://twitter.com/aoxsin)

Endure Secure (https://endsec.au)
Stephen Argent (https://www.runby.coffee/)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
Bruce Chen (https://twitter.com/bruce30262)
aoxsin (https://twitter.com/aoxsin)
Armanul Miraz
Jaehoon Jang, STEALIEN (https://stealien.com)
Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
Tim Coen (https://security-consulting.icu)
TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
Zhao Runzi (赵润梓)

Kevin Wang (https://twitter.com/kevingwn_ )
Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
Safwat Refaat (@Caesar302)
Jeffrey Baker (www.Biznet.net)
Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
Ravi (https://twitter.com/itsrvsinghh)
remonsec (https://twitter.com/remonsec)
TheLabda (https://thelabda.com)
Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
Sivanesh kumar (https://twitter.com/sivanesh_hacker)
Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
@aoxsin (https://twitter.com/aoxsin)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Hasibul Hasan Shawon (@Saiyan0x01)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
Lukas Kupczyk, CrowdStrike Intelligence
Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
Zhao Runzi (赵润梓)

Qian Chen (@cq674350529) from Codesafe Team of Legendsec at Qi'anxin Group
Patrik Fabian (https://websafe.hu)
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Jeenika Anadani (https://twitter.com/j33n1k4)
waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
Milan katwal (https://www.milankatwal.com.np/)
N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
Yimi Hu@baidu.com
Raman R Mohurle (https://twitter.com/Raman_Mohurle)
cmj (http://blog.cmj.tw/)
Parth Manek
Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
Dennis Herrmann (Code White GmbH)
Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Devender Rao (https://www.linkedin.com/in/devender-rao)
RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
Atharv Shejwal (https://kongsec.io)
Xavier DANEST (https://sustainability.decathlon.com/)
Aditya Shende (http://kongsec.io)
Andreas Rothenbacher (https://error401.de)
Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
Suraj SK (https://www.linkedin.com/in/suraj-sk/)
Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
Touhid Shaikh (https://securityium.com/)
N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
ddaa of TrapaSecurity (https://twitter.com/0xddaa)
Praveen Kumar
Oscar Spierings (https://polyform.dev)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
swings of Chaitin Security Research Lab
Hasibul Hasan Rifat (https://twitter.com/rifatsec)
Lanni
Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)

Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Lanni
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Vladislav Akimenko (Digital Security) (https://dsec.ru)
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Aditya Soni (https://www.linkedin.com/in/adtyasoni)
Mansoor Amjad (https://twitter.com/TheOutcastCoder)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
Mehedi Hasan Remon (twitter.com/remonsec)
Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
Mohammed Eldawody (www.fb.com/eldawody0)
YoKo Kho (https://twitter.com/YoKoAcc)
Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
Tinu Tomy (https://twitter.com/tinurock007)
Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Agrah Jain (www.linkedin.com/in/agrahjain)
Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
Pratik Vinod Yadav (https://twitter.com/PratikY9967)
Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
Jan KOPEC(https://twitter.com/blogresponder)
Denis Burtanović
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Georg Delp (https://www.linkedin.com/in/georgdelp/)

R Atik Islam (https://www.facebook.com/atik.islam.14661)
Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
Kitab Ahmed (www.ahmed.science)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
Rushi Gayakwad
Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
Sumit Jain (https://twitter.com/sumit_cfe)
Qian Chen of Qihoo 360 Nirvan Team
Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
Zhong Zhaochen
Tomasz Grabowski
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Safwat Refaat (https://twitter.com/Caesar302)
Agent22 (https://securelayer7.net/)
Hsiao-Yung Chen
Rich Mirch (https://blog.mirch.io)
Ronak Nahar (https://www.linkedin.com/in/naharronak/)
Noman Shaikh (https://twitter.com/nomanAli181)
David Deller (https://horizon-nigh.org)
Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
Touhid M Shaikh (https://touhidshaikh.com)
Abhishek Gaikwad
Kitabuddin Ahmed
Noman Shaikh (https://twitter.com/nomanAli181)
Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
Dan Thomsen (www.thomsen.fo)
Erik de Jong (https://eriknl.github.io)
Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
Hasibul Hasan (SecMiner)
Mohammed Eldawody (www.fb.com/eldawody0)
Chris Schneider
Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
Axel Peters
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Kyle Green
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Dankel Ahmed (https://hackerone.com/kitab)
ShuangYY
HackTrack Security
Muhammed Ashmil K K (Kavuthukandiyil)

Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
Kishan kumar (https://facebook.com/noobieboy007)
Lays (http://l4ys.tw)
Ashish Kumar (https://www.facebook.com/buggyashish)
Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
Ifrah Iman (http://www.ifrahiman.com)
Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
Taien Wang (https://www.linkedin.com/in/taienwang/)
Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
Yasser Gersy (https://twitter.com/yassergersy)
Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Oliver Kramer (https://www.linkedin.com/in/oliver-kramer-670206b5)
1N3@CrowdShield (https://crowdshield.com)
louys, Xie Wei (解炜), Li Yanlong (李衍龙)
Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
Ali Razzaq (https://twitter.com/AliRazzaq_)
丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
Alex Weber (www.broot.ca)
Alex Bastrakov (https://twitter.com/kazan71p)
Mehidia Tania (https://www.beetles.io)
freetsubasa (https://twitter.com/freetsubasa)
Łukasz Rutkowski (http://www.forit.pl/)
Maximilian Tews (www.linkedin.com/in/maximilian-tews)
Bryan Galao (https://www.facebook.com/xbryan.galao)
Jim Zhou (vip-cloud.cn)
Chun Han Hsiao
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Olivier Bédard
Mohamed Eldawody (https://www.facebook.com/Eldawody0)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
郑吉宏通过 GeekPwn 平台提交
Independent Security Evaluators (ISE) labs
Independent security researcher, MengHuan Yu, has reported this vulnerability to Beyond Security’s SecuriTeam Secure Disclosure program
B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
Uriya Yavnieli from VDOO (https://vdoo.com)
Jung Chan Hyeok
Zhong Zhaochen (http://asnine.com)

Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
Sumit Jain
Ketankumar B. Godhani (https://twitter.com/KBGodhani)
karthickumar (Ramanathapuram)
Alireza Azimzadeh Milani
Taien Wang (https://www.facebook.com/taien.tw)
Frédéric Crozat (http://blog.crozat.net/)
Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
SSD/Kacper Szurek
Alexander Drabek (https://www.2-sec.com/)
RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
Kushal Arvind Shah of Fortinet’s FortiGuard Labs
Alvin Poon (https://alvinpoon.myportfolio.com/)
C.shahidyan, C.Akilan, K.Sai Aswanth
BambooFox (https://bamboofox.github.io/)
Sajibe Kanti (https://twitter.com/sajibekantibd)
Huy Kha (linkedin.com/in/huykha)
Pal Patel (https://www.linkedin.com/in/pal434/)
Pethuraj M (https://www.linkedin.com/in/pethu/)
Ali Ashber (https://www.facebook.com/aliashber7)
Muzammil Abbas Kayani (@muzammilabbas2 )
Tayyab Qadir (facebook.com/tqMr.EditOr)
Babar Khan Akhunzada (www.SecurityWall.co)
Mahad Ahmed (https://octadev.com.pk)
JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
Mubassir Kamdar (http://www.mubassirkamdar.com)
Daniel Díez Tainta (https://twitter.com/danilabs)
Tushar Rawool (twitter.com/tkrawool)
Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
Ashish Kunwar (twitter: @D0rkerDevil)
Steven Hampton (Twitter: @Keritzy, https://stevenh.neocities.org/)
Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
Roopak Voleti (https://m.facebook.com/sairoopak.voleti)