DENTRO DEL ÁMBITO
El programa está limitado a las versiones web y para móviles de la página web de Xsolla. Nuestros perfiles en Facebook, Twitter, LinkedIn, Reddit, etc. y las páginas web de nuestros socios, no quedan incluidos.
Elegibles para recompensas:
*.xsolla.com
80.lv
story3.com
golightstream.com (rainmaker.gg excluido)
api.stream
VULNERABILIDADES ELEGIBLES
| VULNERABILIDAD | RANGO DE GRAVEDAD |
|---|---|
| Ejecución remota de código | Crítico |
| Inyección SQL | Alto - Crítico |
| XXE | Alto - Crítico |
| XSS almacenada | Medio - Alto |
| Falsificación de peticiones del servidor (SSRF) | Alto - Crítico |
| Salto de directorio - inclusión de archivos locales | Alto |
| Evasión de la autenticación o autorización (pérdida de control de acceso) | Medio - Alto |
| Escalada de privilegios | Medio - Alto |
| Referencia directa de objetos no seguros (IDOR) | Medio - Alto |
| XSS reflejada | Medio |
| Error de configuración | Bajo - Alto |
| Engaño de caché web | Bajo - Medio |
| Error de configuración CORS | Bajo - Medio |
| Inyección CRLF | Bajo - Medio |
| Falsificación de peticiones en sitios cruzados (CSRF) | Bajo - Alto |
| Redirección abierta | Bajo - Medio |
| Filtración de datos | Bajo - Medio |
Al enviar un informe de fallos, acepta cumplir con la Política del Programa de Recompensas de Xsolla, la cual prohíbe que se revelen los detalles de cualquier vulnerabilidad o error de Xsolla, ya sea de forma pública o privada, hasta que pasen 30 días después de que el error se corrija.
Al participar en este programa, acepta respetar las normas y condiciones indicadas previamente. Todas las normas se deben seguir para tener derecho a una recompensa.