Сообщение a уязвимость.

Как сообщить

Напишите в security@evmsi.com достаточно подробно, чтобы воспроизвести проблему. Мы стремимся подтвердить отчеты в течение трех рабочих дней.

Безопасная гавань

Если вы приложите добросовестные усилия для соблюдения этой политики во время вашего исследования, мы будем считать ее разрешенной, мы будем работать с вами, чтобы быстро понять и решить проблему, и мы не будем рекомендовать или преследовать судебные иски.

Сфера охвата

• 01Сайт и его поддомены.
• 02Конечная точка контакта /api/contact.
• 03Любая проблема, позволяющая выполнение сценариев, инъекцию контента или обход Content Security Policy.

Вне сферы охвата

• 01Отказ в обслуживании, объемное тестирование или любая деятельность, ухудшающая доступность для других.
• 02Социальная инженерия наших сотрудников, партнеров или поставщиков.
• 03Физические нападения на наши офисы или персонал.
• 04Отчеты, генерируемые исключительно автоматическим сканером, без демонстрируемого воздействия.
• 05Пропавшие затвердевающие заголовки без демонстрируемого пути эксплойта.

Наша позиция

Этот сайт намеренно построен практически без поверхности атаки. Он не загружает сторонний скрипт, стиль, шрифт, кадр или конечную точку; он принимает ровно одну форму представления; и он ничего не хранит о посетителях. Приведенные ниже меры применяются к каждому ответу.

• 01Content Security Policy с strict-dynamic — не может выполняться ни встроенный, ни сторонний скрипт.
• 02HTTP Strict Transport Security с двухлетним максимальным возрастом, включенными поддоменами и возможностью предварительной загрузки.
• 03Фрейминг отрицался сразу через обоих предков кадра и X-Frame-Options.
• 04Кросс-оригинальная изоляция: политика открытости, ресурсов и внедрения одного и того же происхождения.
• 05Permissions-Policy, который передает все возможности устройства, которые сайт не использует, в том числе для нашего собственного происхождения.
• 06Проверка на стороне сервера, пределы размера тела, проверка происхождения и ограничение скорости по адресу на конечной точке контакта.
• 07Никакой сторонней аналитики, менеджера тегов, рекламного пикселя или регистратора сеансов — нигде.

Пожалуйста, не

Доступ, изменение или удаление данных, которые не являются вашими; ухудшение обслуживания для других людей; или публикация деталей нерешенной проблемы, прежде чем у нас будет разумная возможность исправить это.

Контакты

EV MULTI-SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com