Công bố lỗ hổng có trách nhiệm

Chúng tôi hoan nghênh báo cáo từ các nhà nghiên cứu bảo mật và bất kỳ ai phát hiện điểm yếu trong www.mule.sh, Mule Portal hoặc một hệ thống do Mule vận hành. Chính sách này giải thích cách báo cáo và những gì chúng tôi cam kết. Thông tin liên hệ ở định dạng máy có thể đọc được của chúng tôi có tại /.well-known/security.txt.

Cách báo cáo

Gửi email tới juastins@icloud.com với chữ "Security" trong tiêu đề. Vui lòng nêu:

• bạn phát hiện điều gì và ở đâu (URL, hệ thống, thành phần);
• các bước tái hiện, và bằng chứng khái niệm (proof of concept) nếu có;
• mức độ ảnh hưởng theo hiểu biết của bạn;
• cách chúng tôi có thể liên lạc với bạn.

Chúng tôi chấp nhận báo cáo bằng tiếng Anh, tiếng Hà Lan, tiếng Pháp hoặc tiếng Đức.

Cam kết của chúng tôi

• Xác nhận đã nhận báo cáo của bạn trong vòng 3 ngày làm việc.
• Thông tin cho bạn trong quá trình chúng tôi điều tra và khắc phục.
• Không khởi kiện đối với hoạt động nghiên cứu thiện chí tuân thủ chính sách này.
• Ghi nhận đóng góp của bạn, nếu bạn muốn, sau khi vấn đề được khắc phục.

Đề nghị bạn

• Chỉ kiểm thử trên tài khoản và dữ liệu của chính bạn. Không truy cập, thay đổi hoặc xóa dữ liệu của người khác.
• Không thực hiện kiểm thử từ chối dịch vụ, tấn công phi kỹ thuật (social engineering), tấn công vật lý hoặc gửi thư rác.
• Dành cho chúng tôi thời gian hợp lý để khắc phục vấn đề trước khi công bố công khai. Chúng tôi đặt mục tiêu trong vòng 90 ngày hoặc ít hơn.
• Dừng lại và thông báo cho chúng tôi nếu bạn tiếp cận được dữ liệu cá nhân, hồ sơ của khách hàng hoặc thông tin đăng nhập.

Ngoài phạm vi

Các hệ thống của khách hàng do bên khác lưu trữ; báo cáo từ công cụ quét tự động mà không chứng minh được ảnh hưởng; thiếu các header theo thông lệ tốt nhưng không có cách khai thác; các vấn đề trong dịch vụ của bên thứ ba, cần được gửi đến nhà cung cấp đó.

Hiện tại chúng tôi không triển khai chương trình thưởng phát hiện lỗi (bug bounty) có trả phí.