นโยบายการเปิดเผยช่องโหว่

Banger Mail ยินดีรับการวิจัยความปลอดภัยโดยสุจริต หากคุณเชื่อว่าพบช่องโหว่ใน Banger Mail โปรดส่งอีเมลถึง security@team.bangermail.com ระบุโฮสต์หรือแอปพลิเคชันที่ได้รับผลกระทบ ขั้นตอนทำซ้ำ ผลกระทบที่คาดการณ์ และบันทึกหรือภาพหน้าจอที่ช่วยให้เราเข้าใจปัญหา ขณะนี้เราไม่ได้เผยแพร่คีย์ PGP โปรดหลีกเลี่ยงการส่งข้อมูลลับ ข้อมูลส่วนบุคคล หรือเนื้อหากล่องจดหมายที่ไม่จำเป็น

วิธีรายงาน

หากเป็นไปได้ ให้ส่งหนึ่งรายงานต่อหนึ่งปัญหา ให้รายละเอียดเพียงพอเพื่อทำซ้ำพฤติกรรมได้อย่างปลอดภัย และแจ้งว่าคุณเชื่อว่าปัญหานี้กำลังถูกใช้โจมตีหรือไม่ โปรดหยุดทดสอบเมื่อมีหลักฐานเพียงพอที่จะแสดงช่องโหว่

ขอบเขต

อยู่ในขอบเขต:

• app.bangermail.com เว็บแอป Banger;
• api.bangermail.com ซึ่งเป็น Banger API รวมถึงเซิร์ฟเวอร์ MCP ที่ api.bangermail.com/mcp และปลายทาง OAuth ของเซิร์ฟเวอร์;
• auth.muchbetterapps.com บริการลงชื่อเข้าใช้ที่ Banger ใช้ (ยังคงใช้ชื่อบริษัทเดิมของเรา);
• cloud.bangermail.com ซึ่งดูแลการเชื่อมต่อกล่องจดหมาย Google; และ
• bangermail.com เว็บไซต์สาธารณะ รวมถึงเครื่องมือฟรี

รายงานเกี่ยวกับการยืนยันตัวตน OAuth และการอนุญาตเอเจนต์ คีย์ API สิทธิ์เครื่องมือ MCP การเข้าถึงข้ามพื้นที่ทำงาน การกำหนดเส้นทางอีเมล การส่งบนโดเมนของลูกค้ารายอื่น การปกป้องข้อมูลกล่องจดหมาย หรือข้อมูลละเอียดอ่อนที่เปิดเผย มีประโยชน์เป็นพิเศษ

นอกขอบเขต

นอกขอบเขต: การโจมตีให้บริการหยุดทำงานหรือการทดสอบอัตโนมัติปริมาณสูง วิศวกรรมสังคม การโจมตีทางกายภาพ การยึดบัญชีจากการใช้รหัสผ่านซ้ำ และช่องโหว่ที่มีเฉพาะในบริการบุคคลที่สามซึ่ง BangerMail Inc. ไม่ได้ดำเนินการ ห้ามส่งสแปม ฟิชชิง ทดลองข้อมูลรับรองที่รั่วไหลเป็นจำนวนมาก คงการเข้าถึงไว้ นำข้อมูลออก หรือดูข้อมูลเกินกว่าที่จำเป็นเพื่อพิสูจน์ปัญหา

ข้อตกลงระดับบริการสำหรับการยืนยันการรับ

เราจะยืนยันการรับรายงานที่อยู่ในขอบเขตภายใน 3 วันทำการ และอาจขอรายละเอียดเพิ่มเติมระหว่างการตรวจสอบ เราจะจัดลำดับความสำคัญตามผลกระทบที่อาจเกิดกับผู้ใช้ ความสามารถในการใช้ช่องโหว่โจมตี และว่าปัญหาน่าจะกระทบข้อมูลกล่องจดหมายหรือการเข้าถึงบัญชีหรือไม่

การคุ้มครองทางกฎหมาย

เราถือว่าการวิจัยโดยสุจริตภายใต้นโยบายนี้ได้รับอนุญาต หากคุณอยู่ในขอบเขต หลีกเลี่ยงความเสียหายต่อความเป็นส่วนตัวและการหยุดชะงักของบริการ รายงานการเข้าถึงโดยไม่ตั้งใจทันที และไม่เก็บหรือแบ่งปันข้อมูล เราจะไม่ดำเนินการทางกฎหมายต่อการวิจัยนั้น

การเปิดเผยร่วมกัน

ระยะเวลาเริ่มต้นสำหรับการเปิดเผยร่วมกันคือ 90 วันหลังยืนยันการรับ เว้นแต่เราตกลงร่วมกันเป็นอย่างอื่น หรือการโจมตีที่กำลังเกิดขึ้นทำให้ต้องดำเนินการเร็วขึ้น นี่ไม่ใช่โครงการให้รางวัลเป็นเงินสำหรับการค้นหาช่องโหว่