Уразливості, які можуть бути спричинені успішним підривом чутливих системних операцій, таких як довільний вхід до облікового запису та довільне отримання пароля через логіку коду підтвердження
Локально збережена конфіденційна інформація про ключ автентифікації витікає, і її потрібно ефективно використовувати.
Вразливість низького рівня
Локальна вразливість до відмови в обслуговуванні. Включаючи, але не обмежуючись, локальну відмову в обслуговуванні на стороні клієнта (розбір форматів файлів, збої, спричинені мережевими протоколами), розкриття дозволів компонентів Android, проблеми, спричинені звичайними дозволами програм тощо.
Загальний витік інформації. Включаючи, але не обмежуючись, обхід веб-шляху, обхід системного шляху, перегляд каталогів тощо.
Відображений XSS (включаючи DOM XSS / Flash XSS)
Нормальна КСРФ
Уразливість переспрямування URL-адреси
SMS-бомба, поштова бомба (кожна система приймає лише одну вразливість цього типу)
Інші вразливості, які є менш шкідливими та не можуть виявитися шкідливими (наприклад, уразливості CORS, які не можуть отримати конфіденційну інформацію)
Немає відлуння та успішного використання SSRF
УРАЗЛИВОСТІ ПОЗА ОБЛАСТЬЮ ДОСЛІДЖЕННЯ
Уразливість до підробки електронної пошти
Вичерпна кількість уразливостей зареєстрованих імен користувачів інтерфейсу
Самостійне впровадження XSS і HTML
На веб-сторінці відсутня політика безпеки CSP, SRI
Питання CSRF для нечутливих операцій
Окремі проблеми Android APP android:allowBackup=”true”, локальні проблеми з відмовою в обслуговуванні тощо (за винятком поглибленого використання)
Пряме посилання на Офіційну біржу Bingx
Такі проблеми, як повільні запити, викликані зміною розміру зображення
Проблеми з витоком версії Nginx або іншого проміжного ПЗ
Деякі функціональні помилки не можуть загрожувати безпеці
Фізична атака на BingX/атака соціальної інженерії на співробітників BingX
Відсутня конфігурація запису DMARC.
Дані EXIF не видаляються із завантажених зображень
Відкрийте перенаправлення
Правила програми
Забороняється проводити громадські роботи та промисел персоналу;
Вразливі місця забороняють зовнішнє розповсюдження;
Лазівки в тестуванні обмежуються перевірочними тестами, а руйнівні тести суворо заборонені. Якщо шкода заподіяна ненавмисно, слід вчасно повідомити про це. У той же час, конфіденційні операції, які виконуються під час тесту, такі як видалення, модифікація тощо, повинні бути пояснені у звіті;
Використання сканерів для широкомасштабного сканування заборонено, а недоступність бізнес-систем або мереж розглядатиметься відповідно до відповідних законів;
Щоб перевірити вразливості, намагайтеся уникати прямої зміни сторінки, повторення спливаючого вікна (для перевірки xss рекомендується використовувати журнал), крадіжки файлів cookie, отримання іншої інформації користувача та інших агресивних корисних навантажень (якщо ви тестуєте сенсорне введення, використовуйте dnslog );
Будьте обережні, використовуйте дуже агресивне корисне навантаження, будь ласка, видаліть його вчасно, інакше ми маємо право притягнутись до відповідної юридичної відповідальності.
Інструкції з розкриття інформації
Не обговорюйте цю програму чи будь-які вразливості (навіть усунені) за межами програми без чіткої згоди організації
На даний момент не допускається розкриття вразливості, в тому числі часткове.
Будь ласка, НЕ публікуйте та не обговорюйте помилки
Відповідність вимогам і скоординоване розкриття інформації
Ми раді подякувати всім, хто надає дійсні звіти, які допомагають нам покращити безпеку. Проте грошову винагороду можуть отримати лише ті, хто відповідає наступним вимогам:
BingX, заснована в 2018 році, є криптовалютною соціальною біржею, яка пропонує послуги спотової торгівлі, деривативів і копіювання в більш ніж 100 країнах світу. BingX пишається собою як біржа для людей, відкриваючи швидкозростаючий ринок криптовалют для всіх, з’єднуючи користувачів із експертами-трейдерами та платформою для інвестування простим, цікавим і прозорим способом.
© HADCOINS.com 2024
