גוט-גלויביקע פֿאָרשונג ווערט קיינמאָל נישט באַגעגנט מיט אַדוואָקאַטן.

זיכערקייט פאָרשונג מאַכט דעם פּראָדוקט זיכערער, און מיר ווילן אַז דער באַריכט זאָל דערגרייכן אונדז איידער ער דערגרייכט אַן אַטאַקער. אויב איר נאָכפאלגן דער פּאָליטיק, וועלן מיר: באַשטעטיקן דיין באַריכט שנעל, אַרבעטן מיט דיר צו פארשטיין און וואַלידירן עס, האַלטן דיר אינפארמירט ווי מיר פאַרריכטן עס, קרעדיט דיר אויב איר ווילט זיין קרעדיטירט, און נישט נאָכיאָגן אָדער שטיצן לעגאַלע אַקציע קעגן דיר פֿאַר דער פאָרשונג. דער לעצטער מחויבות איז דער ציל פון דעם דאָקומענט, און קלאַוזל 07 שטעלט עס אין טערמינען.

אימעיל security@transglot.ai. שליסן איין וואס איר האָט געפונען, וווּ איר האָט עס געפונען, די שריט צו רעפּראָדוצירן עס, וואס אַן אַטאַקער קען טאָן מיט עס, און אַלץ וואס העלפט אונדז באַשטעטיקן עס: אַ בקשה און ענטפער, אַ קורץ ווידעא, אַ באַווייַז פון קאָנסעפּט. זאָגט אונדז אויב איר ווילט זיין קרעדיטירט און אונטער וואָס נאָמען. שרייַבט אין ענגליש אויב איר קענט. אויב איר ווילט פאַרשליסלן דעם באַריכט, פרעגט אין אַן ערשטע מעסידזש און מיר וועלן אויסטוישן אַ שליסל. מיר פּובליצירן אויך אַ security.txt טעקע מיט דער זעלביקער אַדרעס, אַזוי אַן אויטאָמאַטישער סקאַנער ווייַזט אויף אַ מאַילבאָקס וואס אַ מענטש לייענט.

מיר באַשטעטיקן אַ באַריכט אין דרייַ געשעפט טעג. מיר געבן אַן ערשטע אַסעסמענט, אַרייַנגערעכנט צי מיר קענען עס רעפּראָדוצירן און ווי מיר האָבן עס ראַטעד, אין צען געשעפט טעג. מיר זאָגן דיר ווען אַ פאַרריכט שיפּס און מיר וועלן נאָרמאַל האָבן געשיקט איינעם פֿאַר אַ הויך אָדער קריטיש פּראָבלעם אין נייַנציק טעג פון וואַלידירן עס, שנעלער וווּ דער ריזיקע איז אַקטיוו. אויב אַ פאַרריכט וועט נעמען לענגער זאָגן מיר דיר פֿאַרוואָס אַנשטאָט שווײַגן. מיר וועלן זאָגן דיר איידער מיר פּובליצירן עפּעס וועגן דעם פּראָבלעם, און מיר וועלן נישט פּובליצירן דיין נאָמען אָן פרעגן.

ביטע געבט אונדז נייַנציק טעג פון דיין ערשטער באַריכט איידער פּובליצירן דעטאַילן, און לענגער דורך אָפּמאַך אויב דער פאַרריכט איז טאַקע קאָמפּליצירט אָדער אויב אַ פאַרריכט פארלאנגט אַ קונדע צו האַנדלען. מיר וועלן נישט נוצן דעם צייַט צו באַגרעבן דעם פּראָבלעם: מיר וועלן האַלטן דיר דערהייַנטיקט, און אויב מיר קענען נישט פאַרריכטן עס וועלן מיר זאָגן דיר דאס אויך, און מיר וועלן נישט קעגנשטעלן צו פּובליקאַציע איינמאָל דער צייַט איז אַריבער. אויב אַ פּראָבלעם ווערט אַקטיוו אויסגענוצט, זאָגט אונדז גלייך און מיר וועלן באַוועגן מיט דער גיכקייַט אַנשטאָט. מיר זענען צופרידן צו קאָואָרדינירן אַ געמיינזאַמע אַדוויזאָרי און צו בעטן אַ CVE וווּ איינער איז צונעמען.

די פּראָדוקציע וועב אַפּליקאַציע און דער מאַרקעטינג זייַט אויף אונדזער אייגענע דאָומיינס, דער פּובליק REST API, דער דעליבערי ענדפּוינט, דער אין-קאָנטעקסט עדיטאָר און זייַנע אַרייַנלייגן סערפאַסיז, אונדזער פּובלישט קליענט פּאַקאַדזשאַז, אונדזער וועבהאָוק דעליבערי און סיגנינג, אונדזער אָטענטאַקיישאַן און איין-סיגן-אויף פלאָוז, און אונדזער פּובליק אינפראַסטראַקטשר ווי עס איז דערגרייכבאַר פון דעם אינטערנעט. באַריכטן וועגן אַ דעזיין באַשלוס וואס מיר האָבן דאָקומענטירט ווי אַ דעליבעראַטיווע טרייד, אַזוי ווי דער געטיילטע עקסאַקט-מאַטש טראַנסליישאַן זכּרון פּול אָדער דער אָפּוועזנקייט פון דיסק-לעוועל פאַרשליסלונג אויף לעבעדיקע וואָלומען, זענען ווילקומען ווי אַרגומענטן אָבער זענען נישט שוואכקייטן: זיי זענען אויסגעשטעלט אויף דער זיכערקייט בלאַט פּונקט אַזוי אַ פאָרשער טוט נישט פאַרברענגען אַ נאָכמיטאָג באַווייַזן עפּעס וואס מיר שוין פּובליצירן.

Anything not operated by us, including a customer’s own website, a third party integration and any system reached through a connector. Denial of service, volumetric or resource exhaustion testing, and anything that degrades the service for other users. Social engineering, phishing, or physical attempts against our staff, our offices or our suppliers. Spam, and reports generated by an automated scanner with no analysis attached. Findings that are only a missing best-practice header, a cookie flag with no demonstrated impact, an outdated library with no exploitable path, a rate limit you found by exceeding it, a self-inflicted cross-site scripting, a clickjacking report on a page with no sensitive action, or the absence of a broad content security policy, which we already document as a gap. Vulnerabilities requiring physical access to a victim’s unlocked device, or requiring a root-level compromise of the victim’s own machine.

If you make a good faith effort to comply with this policy during your research, we will consider your research to be authorised, we will work with you to understand and resolve the issue quickly, and we will not recommend or pursue legal action against you, including under computer misuse, anti-hacking, anti-circumvention or contract law, and including any claim under the Acceptable Use Policy or the Terms of Service that your testing would otherwise breach. If a third party brings an action against you for research conducted under this policy, we will make it known that your activities were authorised. This safe harbour is limited to us: it cannot and does not authorise you to act against a third party, another customer, or anyone else’s systems.

Use only logins and Accounts you own or have explicit permission to test, and create your own free workspace rather than probing somebody else’s. Do not access, modify, copy, exfiltrate or destroy data that is not yours, and if you encounter customer data by accident, stop, do not save it, and tell us immediately what you saw so we can assess exposure. Do not degrade availability or run load, stress or denial of service tests. Do not use a finding to gain more access than you need to demonstrate it, and do not maintain persistence. Do not extort, and do not condition disclosure on a payment. Do not publish before clause 04 allows. Comply with applicable law and with any export control or sanctions restriction that applies to you.

עס איז קיין באַצאָלט באַג באַונטי הייַנט. וואס מיר טאָן אָפּפערן איז אַ שנעל, מענטשלעך ענטפער, קרעדיט אין אַ פּובליק באַשטעטיקונג אויב איר ווילט עס, אַ געשריבענע רעפערענץ פֿאַר ערנסטע געפינט, און דער זיכער האַפֿן אויבן. אויב מיר שטאַרטן אַ באַצאָלט פּראָגראַם וועלן מיר פּובליצירן דעם סקאָפּ און די ריינדזשאַז דאָ איידער מיר נעמען דעם ערשטן אַרייַנגאַנג.

מיר וועלן נישט פרעגן אייך צו חתמ׳ענען אַ ניט-אויפֿדעקונג-אָפּמאַך ווי אַ באַדינגונג פֿון באַקומען אייער באַריכט, און מיר וועלן נישט ניצן אַ באַריכט-אינגאַב-פֿאָרם ווי אַ וועג אייך צו בינדן צו שטילקייט. מיר וועלן נישט דראָען אייך פֿאַר אַ באַריכט וואָס שטעלט זיך אַרויס ווי נידעריקער שווערקייט אָדער אַ דופּליקאַט. מיר וועלן נישט מאַלדן אייך צו אייער אַרבעט-געבער, אייער אוניווערסיטעט אָדער אַ פּלאַטפֿאָרמע. אויב מיר שטימען נישט מיט אייער שווערקייט-ראַטינג וועלן מיר ערקלערן פֿאַר וואָס אַנשטאָט פֿאַרמאַכן דעם טרעד.

א קונדע וואס געפינט א שוואכקייט בייַ ניצן דעם פּראָדוקט איז באַדעקט דורך דער פּאָליטיק און דורך זיין זיכער האַפֿן, און מעלדן איינעם איז קיינמאָל נישט אַ ברעך פון דער פּאָליטיק פון אַקצעפּטאַבלע נוצן. מעלד עס צו דער זיכערקייט אַדרעס אַנשטאָט דורך געוויינטלעכן סופּפּאָרט, אַזוי אַז עס דערגרייכט די רעכטע מענטשן אָן זיצן אין אַ וואַרטשייַלע. טוט נישט פּרובירן מיט פּראָדוקציע דאַטן וואס געהערט צו דיין אייגענעם סוף-ניצער אויב איר קענט עס פארמיידן.

די זיכערקייט בלאַט נעמט אָן די זאַכן וואס מיר האָבן נישט געבויט, מיט כּוונה, אַזוי אַז אַ ריוויעווער אָדער אַ פאָרשער לערנט זיי פון אונדז אַנשטאָט אין זאָרג: די לעבעדיקע וואָלומען זענען נישט דיסק-פאַרשליסלט, דער אודיט לאָג איז אַפּענד-אויף בייַ דער אַפּליקאַציע שיכטע און טראָגט קיין האַש קייט אָדער סיגנאַטור נישט, עס איז קיין ברייט אינהאַלט זיכערקייט פּאָליטיק נישט, און מיר האַלטן קיין דריט-פּאַרטיי זיכערקייט סערטיפיקאַציע הייַנט. פּובליצירן אונדזער אייגענע ליקעס איז די ביליקסטע Ehrlichkeit אין די געשעפט און עס שפּאַרט יעדערמען אַ וואָך.

זיכערקייט באַריכטן און פֿראַגן וועגן דער פּאָליטיק גיין צו security@transglot.ai. אַלץ וואס איז נישט אַ זיכערקייט פּראָבלעם, אַרייַנגערעכנט מיסברויך און קאָפּירעכט, גיין צו hello@transglot.ai. פּריוואַטקייט און דאַטן שוץ גיין צו privacy@transglot.ai.