Security Bug Bounty Program

Программа Security Bug Bounty

Поскольку угрозы развиваются и растут как по частоте, так и по сложности, компания Synology сотрудничает со специалистами по безопасности, чтобы поддерживать и укреплять нашу защиту.

Продукты, участвующие в программе

В рамках данной программы принимаются только отчеты об уязвимостях, связанных с продуктами и веб-службами Synology. Отчеты об уязвимостях, выходящих за рамки программы, обычно не дают права на вознаграждение; однако в зависимости от ситуации такие отчеты могут приниматься, если уязвимость является критической.

Операционные системы

Бонусы в размере до

$30 000

Включает Synology DiskStation Manager, Synology Router Manager и Synology BeeStation.

Подробнее

Программное обеспечение и облачные службы C2

Бонусы в размере до

$10 000

Включает пакеты программного обеспечения, разработанные компанией Synology, связанные мобильные приложения и облачные службы C2.

Подробнее

Веб-службы

Бонусы в размере до

$5000

Включает все основные веб-службы Synology.

Подробнее

Сведения о бонусах

Критерии предоставления бонусов

Предоставьте информацию, необходимую для воспроизведения обнаруженных проблем. Размер каждого бонуса зависит от серьезности обнаруженной уязвимости и категории продуктов, которая ей подвержена.

Чтобы претендовать на денежное вознаграждение, отчеты должны соответствовать следующим критериям:

Вознаграждение получает первый действительный отчет о ранее неизвестной и неопубликованной уязвимости
Сообщенная уязвимость подтверждена как проверяемая, воспроизводимая и демонстрирует реальное влияние на безопасность данных, устройств или сервисов наших клиентов
Ваш отчет соответствует положениям и правилам программы поощрений

Сообщение об ошибках безопасности

Если вы считаете, что обнаружили уязвимость, выполните следующие действия:

Шаг 1

Свяжитесь с нами, используя контактную форму программы поощрений.

Шаг 2

При отправке отчетов об ошибках в Synology используйте этот ключ PGP для шифрования информации.

Шаг 3

Включите в отчет детальное подтверждение концепции и убедитесь, что обнаруженные ошибки можно воспроизвести.

Шаг 4

Описание должно быть кратким и содержательным. Например, короткая ссылка для подтверждения концепции ценится выше, чем видео, объясняющее последствия проблемы SSRF.

Ваши и наши обязанности

Ваш отчет

Для сокращения времени обработки хороший отчет об уязвимости должен соответствовать следующим критериям:

Содержать четкое пошаговое описание процедуры воспроизведения этой уязвимости на английском языке
Демонстрировать, как уязвимость влияет на продукты или веб-службы Synology, а также содержать описание уязвимых версий и платформ
Указывать ущерб, который может причинить обнаруженная уязвимость

Наш ответ

Команда по обеспечению безопасности Synology ответит на ваш отчет в течение 7 дней, будет регулярно обновлять статус и устранит уязвимость в максимально короткие сроки, в зависимости от серьезности угрозы.

Если ваш отчет об уязвимости соответствует критериям получения денежного вознаграждения, в знак нашей признательности ваше имя будет указано на странице инструкций по безопасности продуктов Synology на нашем официальном веб-сайте.

Этот процесс займет не менее 90 дней. Вознаграждение будет переведено вам после завершения процесса.

Примечание.Компания Synology оставляет за собой право в любое время и без предварительного уведомления изменить или отменить данную программу, включая ее политики.

Операционные системы

Вознаграждение	За квалифицированные отчеты будут предоставлены бонусы в размере до $30 000*.
Продукты, участвующие в программе	Принимаются только отчеты об официально выпущенных версиях. DiskStation Manager (DSM) DSM 7 (последняя версия) Synology Router Manager (SRM) SRM 1.3 (последняя версия) Микропрограмма Synology Camera Микропрограмма 1.1 (последняя версия) Synology BeeStation ОС BeeStation 1.0 (последняя версия)
Нормативные требования и ограничения	Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство. В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее: DoS-атаки (отказ в обслуживании) на серверы Synology или пользователей Тестирование уязвимостей, наносящее ущерб серверам или данным Synology либо пользователей Физические атаки или социальная инженерия Раскрытие информации об ошибке до получения одобрения Synology Некритические уязвимости в устаревших службах или продуктах либо службах или продуктах с истекшим сроком поддержки (EOL) Уязвимости, затрагивающие только устаревшие веб-браузеры Большинство типов атак методом перебора Отраженные XSS-атаки или Self XSS-атаки Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством Отчеты о сканировании уязвимостей, в которых не описаны последствия уязвимости Указания на уязвимость портов по умолчанию без предоставления PoC Теоретические уязвимости без конкретного Proof of Concept (PoC) Открытые перенаправления сами по себе обычно считаются информационными и не подходят для получения вознаграждения, если только они не способствуют возникновению более серьезной уязвимости Отсутствующие заголовки безопасности, которые напрямую не приводят к эксплуатации Отсутствующие флаги безопасности в файлах cookie Перечисление пользователей. Отчеты с описанием перечисления пользователей не входят в область программы, если вы не можете продемонстрировать отсутствие ограничений частоты запросов для защиты пользователей Уязвимости, возникающие вследствие особенностей поведения интегрированных сторонних сервисов ИИ, если они не приводят к прямой эксплуатации против наших пользователей Первопричина находится в вышестоящем коде с открытым исходным кодом или у сторонних поставщиков услуг, а не в изменениях, внесенных Synology. Возможность получения вознаграждения за критические уязвимости, затрагивающие устаревшие службы или продукты либо службы или продукты с истекшим сроком поддержки (EOL), определяется Synology в каждом конкретном случае по собственному усмотрению. Проблемы, требующие позиции «человек посередине» (MITM) или контроля над сетевым трафиком пользователя. Проблемы локального повышения привилегий, не объединенные с действительной сетевой уязвимостью. Отчеты, содержащие только подтверждающие материалы, такие как снимки экрана, журналы или запросы, созданные или воспроизведенные с помощью Burp Suite или аналогичных инструментов, без отдельного proof of concept, демонстрирующего полный сценарий атаки. Отчеты, основанные на QEMU или других эмулируемых средах.

Вознаграждение

За квалифицированные отчеты будут предоставлены бонусы в размере до $30 000*.

Продукты, участвующие в программе

Принимаются только отчеты об официально выпущенных версиях.

DiskStation Manager (DSM)

DSM 7 (последняя версия)

Synology Router Manager (SRM)

SRM 1.3 (последняя версия)

Микропрограмма Synology Camera

Микропрограмма 1.1 (последняя версия)

Synology BeeStation

ОС BeeStation 1.0 (последняя версия)

Нормативные требования и ограничения

Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство.

В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее:

DoS-атаки (отказ в обслуживании) на серверы Synology или пользователей
Тестирование уязвимостей, наносящее ущерб серверам или данным Synology либо пользователей
Физические атаки или социальная инженерия
Раскрытие информации об ошибке до получения одобрения Synology
Некритические уязвимости в устаревших службах или продуктах либо службах или продуктах с истекшим сроком поддержки (EOL)
Уязвимости, затрагивающие только устаревшие веб-браузеры
Большинство типов атак методом перебора
Отраженные XSS-атаки или Self XSS-атаки
Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством
Отчеты о сканировании уязвимостей, в которых не описаны последствия уязвимости
Указания на уязвимость портов по умолчанию без предоставления PoC
Теоретические уязвимости без конкретного Proof of Concept (PoC)
Открытые перенаправления сами по себе обычно считаются информационными и не подходят для получения вознаграждения, если только они не способствуют возникновению более серьезной уязвимости
Отсутствующие заголовки безопасности, которые напрямую не приводят к эксплуатации
Отсутствующие флаги безопасности в файлах cookie
Перечисление пользователей. Отчеты с описанием перечисления пользователей не входят в область программы, если вы не можете продемонстрировать отсутствие ограничений частоты запросов для защиты пользователей
Уязвимости, возникающие вследствие особенностей поведения интегрированных сторонних сервисов ИИ, если они не приводят к прямой эксплуатации против наших пользователей
Первопричина находится в вышестоящем коде с открытым исходным кодом или у сторонних поставщиков услуг, а не в изменениях, внесенных Synology.
Возможность получения вознаграждения за критические уязвимости, затрагивающие устаревшие службы или продукты либо службы или продукты с истекшим сроком поддержки (EOL), определяется Synology в каждом конкретном случае по собственному усмотрению.
Проблемы, требующие позиции «человек посередине» (MITM) или контроля над сетевым трафиком пользователя.
Проблемы локального повышения привилегий, не объединенные с действительной сетевой уязвимостью.
Отчеты, содержащие только подтверждающие материалы, такие как снимки экрана, журналы или запросы, созданные или воспроизведенные с помощью Burp Suite или аналогичных инструментов, без отдельного proof of concept, демонстрирующего полный сценарий атаки.
Отчеты, основанные на QEMU или других эмулируемых средах.

* Дополнительные сведения можно найти на странице «Сведения о бонусах» веб-страницы программы по поиску уязвимостей Security Bug Bounty.
** Максимальное вознаграждение за уязвимости в SRM_LAN составляет 5000 долларов США.
*** Максимальное вознаграждение за уязвимости в микропрограмме камеры составляет 10 000 долларов США.

Программное обеспечение и облачные службы C2

Вознаграждение	За квалифицированные отчеты будут предоставлены бонусы в размере до $10 000*.
Продукты, участвующие в программе	Принимаются только отчеты об официально выпущенных версиях. Пакеты Пакеты программного обеспечения, разработанные компанией Synology Клиентские приложения для настольных ПК Приложения для Windows, macOS и Linux, разработанные компанией Synology Мобильные приложения Мобильные приложения для Android и iOS, разработанные компанией Synology Учетная запись Synology Домены .account.synology.com Домены .identity.synology.com Службы C2 Домены *.c2.synology.com
Нормативные требования и ограничения	Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство. В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее: DoS-атаки (отказ в обслуживании) на серверы Synology или пользователей Тестирование уязвимостей, наносящее ущерб серверам или данным Synology либо пользователей Физические атаки или социальная инженерия Раскрытие информации об ошибке до получения одобрения Synology Некритические уязвимости в устаревших службах или продуктах либо службах или продуктах с истекшим сроком поддержки (EOL) Уязвимости, затрагивающие только устаревшие веб-браузеры Большинство типов атак методом перебора Отраженные XSS-атаки или Self XSS-атаки Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством Отчеты о сканировании уязвимостей, в которых не описаны последствия уязвимости Указания на уязвимость портов по умолчанию без предоставления PoC Теоретические уязвимости без конкретного Proof of Concept (PoC) Открытые перенаправления сами по себе обычно считаются информационными и не подходят для получения вознаграждения, если только они не способствуют возникновению более серьезной уязвимости Отсутствующие заголовки безопасности, которые напрямую не приводят к эксплуатации Отсутствующие флаги безопасности в файлах cookie Перечисление пользователей. Отчеты с описанием перечисления пользователей не входят в область программы, если вы не можете продемонстрировать отсутствие ограничений частоты запросов для защиты пользователей. Уязвимости, возникающие вследствие особенностей поведения интегрированных сторонних сервисов ИИ, если они не приводят к прямой эксплуатации против наших пользователей Первопричина находится в вышестоящем коде с открытым исходным кодом или у сторонних поставщиков услуг, а не в изменениях, внесенных Synology. Возможность получения вознаграждения за критические уязвимости, затрагивающие устаревшие службы или продукты либо службы или продукты с истекшим сроком поддержки (EOL), определяется Synology в каждом конкретном случае по собственному усмотрению. Проблемы, требующие позиции «человек посередине» (MITM) или контроля над сетевым трафиком пользователя. Проблемы локального повышения привилегий, не объединенные с действительной сетевой уязвимостью. Отчеты, содержащие только подтверждающие материалы, такие как снимки экрана, журналы или запросы, созданные или воспроизведенные с помощью Burp Suite или аналогичных инструментов, без отдельного proof of concept, демонстрирующего полный сценарий атаки. Отчеты, основанные на QEMU или других эмулируемых средах. Уязвимости в клиентах для настольных компьютеров и мобильных приложениях, для эксплуатации которых требуется локальный доступ, доступ к смежной сети или взаимодействие с пользователем, либо удаленная эксплуатация которых зависит от условий, не подконтрольных злоумышленнику.

Вознаграждение

За квалифицированные отчеты будут предоставлены бонусы в размере до $10 000*.

Продукты, участвующие в программе

Принимаются только отчеты об официально выпущенных версиях.

Пакеты

Пакеты программного обеспечения, разработанные компанией Synology

Клиентские приложения для настольных ПК

Приложения для Windows, macOS и Linux, разработанные компанией Synology

Мобильные приложения

Мобильные приложения для Android и iOS, разработанные компанией Synology

Учетная запись Synology

Домены *.account.synology.com
Домены *.identity.synology.com

Службы C2

Домены *.c2.synology.com

Нормативные требования и ограничения

DoS-атаки (отказ в обслуживании) на серверы Synology или пользователей
Тестирование уязвимостей, наносящее ущерб серверам или данным Synology либо пользователей
Физические атаки или социальная инженерия
Раскрытие информации об ошибке до получения одобрения Synology
Некритические уязвимости в устаревших службах или продуктах либо службах или продуктах с истекшим сроком поддержки (EOL)
Уязвимости, затрагивающие только устаревшие веб-браузеры
Большинство типов атак методом перебора
Отраженные XSS-атаки или Self XSS-атаки
Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством
Отчеты о сканировании уязвимостей, в которых не описаны последствия уязвимости
Указания на уязвимость портов по умолчанию без предоставления PoC
Теоретические уязвимости без конкретного Proof of Concept (PoC)
Открытые перенаправления сами по себе обычно считаются информационными и не подходят для получения вознаграждения, если только они не способствуют возникновению более серьезной уязвимости
Отсутствующие заголовки безопасности, которые напрямую не приводят к эксплуатации
Отсутствующие флаги безопасности в файлах cookie
Перечисление пользователей. Отчеты с описанием перечисления пользователей не входят в область программы, если вы не можете продемонстрировать отсутствие ограничений частоты запросов для защиты пользователей.
Уязвимости, возникающие вследствие особенностей поведения интегрированных сторонних сервисов ИИ, если они не приводят к прямой эксплуатации против наших пользователей
Первопричина находится в вышестоящем коде с открытым исходным кодом или у сторонних поставщиков услуг, а не в изменениях, внесенных Synology.
Возможность получения вознаграждения за критические уязвимости, затрагивающие устаревшие службы или продукты либо службы или продукты с истекшим сроком поддержки (EOL), определяется Synology в каждом конкретном случае по собственному усмотрению.
Проблемы, требующие позиции «человек посередине» (MITM) или контроля над сетевым трафиком пользователя.
Проблемы локального повышения привилегий, не объединенные с действительной сетевой уязвимостью.
Отчеты, содержащие только подтверждающие материалы, такие как снимки экрана, журналы или запросы, созданные или воспроизведенные с помощью Burp Suite или аналогичных инструментов, без отдельного proof of concept, демонстрирующего полный сценарий атаки.
Отчеты, основанные на QEMU или других эмулируемых средах.
Уязвимости в клиентах для настольных компьютеров и мобильных приложениях, для эксплуатации которых требуется локальный доступ, доступ к смежной сети или взаимодействие с пользователем, либо удаленная эксплуатация которых зависит от условий, не подконтрольных злоумышленнику.

* Дополнительные сведения можно найти на странице «Сведения о бонусах» веб-страницы программы по поиску уязвимостей Security Bug Bounty.

Веб-службы

Вознаграждение	За квалифицированные отчеты будут предоставлены бонусы в размере до $5000*.
Продукты, участвующие в программе	В область охвата входят только домены *.synology.com, за исключением openstack-ci-logs.synology.com, router.synology.com и ask.synology.com. Компания Synology оставляет за собой право вносить изменения в этот список в любое время без предварительного уведомления.
Нормативные требования и ограничения	Данная программа применима только в случаях наличия уязвимостей системы безопасности, найденных в продуктах и службах Synology. Действия, которые могут привести к повреждению серверов или данных Synology или оказать на них неблагоприятное воздействие, строго запрещены. Тестирование на уязвимости не должно нарушать местное или тайваньское законодательство. В рамках данной программы не принимаются отчеты об уязвимостях, если в них описывается или указывается следующее: DoS-атаки (отказ в обслуживании) на серверы Synology или пользователей Тестирование уязвимостей, наносящее ущерб серверам или данным Synology либо пользователей Физические атаки или социальная инженерия Раскрытие информации об ошибке до получения одобрения Synology Обход каталогов на https://*archive.synology.com Отраженная загрузка файла Проблемы, связанные с получением баннеров, или раскрытие версии программного обеспечения Уязвимость нулевого дня, раскрытая в течение 90 дней Некритические уязвимости в устаревших службах или продуктах либо службах или продуктах с истекшим сроком поддержки (EOL) Уязвимости, затрагивающие только устаревшие веб-браузеры Большинство типов атак методом перебора Отраженные XSS-атаки или Self XSS-атаки Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством Отчеты о сканировании уязвимостей, в которых не описаны последствия уязвимости Указания на уязвимость портов по умолчанию без предоставления PoC Теоретические уязвимости без конкретного Proof of Concept (PoC) Открытые перенаправления сами по себе обычно считаются информационными и не подходят для получения вознаграждения, если только они не способствуют возникновению более серьезной уязвимости Отсутствующие заголовки безопасности, которые напрямую не приводят к эксплуатации Отсутствующие флаги безопасности в файлах cookie Перечисление пользователей. Отчеты с описанием перечисления пользователей не входят в область программы, если вы не можете продемонстрировать отсутствие ограничений частоты запросов для защиты пользователей. Уязвимости, возникающие вследствие особенностей поведения интегрированных сторонних сервисов ИИ, если они не приводят к прямой эксплуатации против наших пользователей Первопричина находится в вышестоящем коде с открытым исходным кодом или у сторонних поставщиков услуг, а не в изменениях, внесенных Synology. Возможность получения вознаграждения за критические уязвимости, затрагивающие устаревшие службы или продукты либо службы или продукты с истекшим сроком поддержки (EOL), определяется Synology в каждом конкретном случае по собственному усмотрению. Проблемы, требующие позиции «человек посередине» (MITM) или контроля над сетевым трафиком пользователя. Отчеты, содержащие только подтверждающие материалы, такие как снимки экрана, журналы или запросы, созданные или воспроизведенные с помощью Burp Suite или аналогичных инструментов, без отдельного proof of concept, демонстрирующего полный сценарий атаки.

Вознаграждение

За квалифицированные отчеты будут предоставлены бонусы в размере до $5000*.

Продукты, участвующие в программе

В область охвата входят только домены *.synology.com, за исключением openstack-ci-logs.synology.com, router.synology.com и ask.synology.com.

Компания Synology оставляет за собой право вносить изменения в этот список в любое время без предварительного уведомления.

Нормативные требования и ограничения

DoS-атаки (отказ в обслуживании) на серверы Synology или пользователей
Тестирование уязвимостей, наносящее ущерб серверам или данным Synology либо пользователей
Физические атаки или социальная инженерия
Раскрытие информации об ошибке до получения одобрения Synology
Обход каталогов на https://*archive.synology.com
Отраженная загрузка файла
Проблемы, связанные с получением баннеров, или раскрытие версии программного обеспечения
Уязвимость нулевого дня, раскрытая в течение 90 дней
Некритические уязвимости в устаревших службах или продуктах либо службах или продуктах с истекшим сроком поддержки (EOL)
Уязвимости, затрагивающие только устаревшие веб-браузеры
Большинство типов атак методом перебора
Отраженные XSS-атаки или Self XSS-атаки
Уязвимости, связанные с фишингом, созданием поддельных веб-сайтов или мошенничеством
Отчеты о сканировании уязвимостей, в которых не описаны последствия уязвимости
Указания на уязвимость портов по умолчанию без предоставления PoC
Теоретические уязвимости без конкретного Proof of Concept (PoC)
Открытые перенаправления сами по себе обычно считаются информационными и не подходят для получения вознаграждения, если только они не способствуют возникновению более серьезной уязвимости
Отсутствующие заголовки безопасности, которые напрямую не приводят к эксплуатации
Отсутствующие флаги безопасности в файлах cookie
Перечисление пользователей. Отчеты с описанием перечисления пользователей не входят в область программы, если вы не можете продемонстрировать отсутствие ограничений частоты запросов для защиты пользователей.
Уязвимости, возникающие вследствие особенностей поведения интегрированных сторонних сервисов ИИ, если они не приводят к прямой эксплуатации против наших пользователей
Первопричина находится в вышестоящем коде с открытым исходным кодом или у сторонних поставщиков услуг, а не в изменениях, внесенных Synology.
Возможность получения вознаграждения за критические уязвимости, затрагивающие устаревшие службы или продукты либо службы или продукты с истекшим сроком поддержки (EOL), определяется Synology в каждом конкретном случае по собственному усмотрению.
Проблемы, требующие позиции «человек посередине» (MITM) или контроля над сетевым трафиком пользователя.
Отчеты, содержащие только подтверждающие материалы, такие как снимки экрана, журналы или запросы, созданные или воспроизведенные с помощью Burp Suite или аналогичных инструментов, без отдельного proof of concept, демонстрирующего полный сценарий атаки.

Сведения о бонусах

На этой странице представлена информация о максимальных бонусах, которые могут получить специалисты по безопасности за определенные типы уязвимостей, а также указаны типы уязвимостей, наиболее значимые для компании Synology. Мы ценим ваш вклад и стремимся должным образом вознаграждать за важные исследования в области безопасности.

В таблице указаны максимально возможные бонусы для каждой категории, однако не за каждый квалифицированный отчет будет гарантированно предоставлена указанная сумма*.

Критичные
	Операционные системы	Программное обеспечение и облачные службы C2	Веб-службы
Zero-click pre-auth RCE	$30 000	$10 000	$5000
Zero-click pre-auth arbitrary file r/w	$10000	$5000	$2500

Важные
	Операционные системы	Программное обеспечение и облачные службы C2	Веб-службы
1-click pre-auth RCE	$4000	$2000	$1000
Zero-click normal-user-auth RCE	$3750	$1950	$950
Zero-click normal-user-auth arbitrary file r/w	$3250	$1700	$850
Zero-click pre-auth RCE (AC:H)	$3250	$1700	$850
1-click pre-auth RCE (AC:H)	$2500	$1250	$650
pre-auth SQL injection	$1900	$1000	$550
1-click normal-user-auth RCE (AC:H)	$1300	$700	$400
pre-auth stored XSS	$1300	$700	$400

Примечание.

Обратите внимание: хотя примерный план бонусов указан, все отчеты рассматриваются по отдельности и детально оцениваются. При оценке учитываются различные факторы, включая, помимо прочего, продукты, участвующие в программе, которые указаны в разделе бонусов. Компания Synology оставляет за собой право на окончательную интерпретацию сумм бонусов.
Для проблем, классифицированных как проблемы с низкой степенью серьезности или предложения, будут предоставлены только подтверждения.
Действительным уязвимостям, не являющимся дубликатами, для эксплуатации которых требуются обычные права пользователя или права администратора, которые явно не перечислены выше или классифицированы как уязвимости средней степени серьезности, будет присвоен идентификатор CVE, но они не будут иметь права на денежное вознаграждение.

Часто задаваемые вопросы

Как сообщить об уязвимости?Предоставьте детальное подтверждение концепции и убедитесь, что обнаруженные ошибки можно воспроизвести. При отправке нам отчетов об ошибках используйте это шифрование ключей PGP, предлагаемое компанией Synology, и не раскрывайте соответствующую информацию третьим лицам.Кто определяет, могу ли я получить бонус за мой отчет?Все отчеты об ошибках просматриваются и оцениваются командой по обеспечению безопасности Synology, в состав которой входят старшие аналитики по вопросам безопасности Synology.Каковы последствия публичного раскрытия информации об ошибке до ее устранения?Мы стараемся оперативно реагировать на отчеты об ошибках и исправлять эти ошибки в разумные сроки. Перед публичным раскрытием информации об ошибке уведомите нас об этом заранее. В случае любого раскрытия информации об ошибке без выполнения этого требования бонус не будет предоставлен.Можно ли получить бонус за уязвимости, обнаруженные в устаревшем программном обеспечении, например Apache или Nginx?Укажите уязвимости в программном обеспечении и объясните, почему вы считаете, что они негативно влияют на его использование. Отчеты без такой информации обычно не соответствуют требованиям для получения вознаграждения. Обратите также внимание, что уязвимости, происходящие из компонента с открытым исходным кодом, не подходят для получения вознаграждения в рамках этой программы. Это относится к случаям, когда уязвимость уже существует в вышестоящем проекте и не была внесена в результате изменений, сделанных Synology.Можно ли попросить не указывать мое имя на странице инструкций по безопасности Synology?Да. Вы можете попросить не указывать ваше имя на нашей странице инструкций по безопасности. Однако, если вы имеете право на получение бонуса и хотите получить его, нам потребуется ваша контактная информация для обработки платежа.Можно ли получить бонус за уязвимости, если информация о них была передана брокерам уязвимостей?Раскрытие информации об уязвимости в частном порядке третьим лицам в целях, отличных от исправления ошибок, противоречит духу нашей программы. Поэтому за такие отчеты бонус не предоставляется.Кто получит бонус, если об одной и той же ошибке сообщат несколько человек?Бонус предоставляется первому лицу, обнаружившему ранее неизвестную нам уязвимость.

Благодарность

Мы хотим отдать должное специалистам по безопасности и организациям, которые нам помогли.

0rca and TulongFeng
ABBA Labs
Abdul Halim (https://hackerone.com/belugaw)
Ade Putra Hermawan (https://x.com/0xkonde)
Adonis Ramos
Ahmed Mourad (https://www.linkedin.com/in/ahmed-mourad-82156a31b)
Akorede Abubakr Olaide (https://acsblog.kesug.com)
Alejandro Ramos (@aramosf)
Alexander Oerder
Ayon Hasan (www.linkedin.com/in/ayon0x0)
Ben R of Interrupt Labs (https://www.interruptlabs.co.uk)
Chaeeun Hur
chwrld (@chwrld24) (https://instagram.com/chwrld24) (https://x.com/chwrld24)
DungNBN (@greengrass19000) from Viettel Cyber Security Research Lab (@vcslab) working with q5cam and supersasuke19 from Trung Tâm Săn Lỗi Lậu Hải Ngoại
DungNBN (@greengrass19000) from Viettel Cyber Security Research Lab (@vcslab) working with rewhAI from Trung Tâm Săn Lỗi Lậu Hải Ngoại
DungNBN (@greengrass19000) from Viettel Cyber Security Research Lab (@vcslab) working with Scamman from Trung Tâm Săn Lỗi Lậu Hải Ngoại
Endure Secure (https://endsec.au)
Eugen Lague (https://www.linkedin.com/in/eugen-lague-b77ab6167)
GeonYeong Jo (STEALIEN) (https://stealien.com)
Griffin Francis
HAK-MZ Team (https://hak-mz.com)
Ivan Dominguez from Zerolynx
izut and Searat from the Web Hacker Team (https://github.com/web-hacker-team/)
Jan Majewski (https://www.linkedin.com/in/jan-m-8a1b20292/)
Jeongsik Kim (https://www.linkedin.com/in/jeongsik-kim-9b4077239)
Jincheng Wang (@winmt) from Nanjing University of Posts and Telecommunications
Joe Lovett
Josip Stjepanović
Juan Sukaton
juhye0p, ZZoMb1E (STEALIEN INC.) (https://stealien.com)
Juhyeop Lee (STEALIEN INC.) (https://www.stealien.com)
JUNYI LIU (@mosskappa)
Kazuma Matsumoto, a security researcher at GMO Cybersecurity by IERAE, Inc.
Kwon Youngwoo (fullbbadda1208) (https://github.com/fullbbadda1208)
Kyun0 (https://h4ck2.github.io/)
Lam Jun Rong and Javier Koh, Cyber Specialists of the Digital and Intelligence Service (DIS) working with the Centre for Strategic Infocomm Technologies (CSIT) and Dr Joseph Teo, CSIT
LE DUC KHUONG
leduckhuong
Lubin Leclanche
Mathias Kvist Aarup
Matúš Mandzák
mlgzackfly (@cymetrics) (https://mlgzackfly.tw)
Nguyễn Bá Nam Dũng (@greengrass19000) and Hà Thế Long (LongHT) from Viettel Cyber Security Research Lab (@vcslab)
Nicolas Hochart
Nuke (https://imnuke.dev)
Omar Hashem (https://www.linkedin.com/in/omar-1-hashem/)(https://x.com/omarhashem666)
p4p3r 싸이버원(CYBERONE) https://www.cyberone.kr/main
p4p3r(@P4P3R-HAK)
pandbx
Pelumi okeniyi (https://x.com/renewedcybs)
Peter Severa Levashov (https://www.SeveraDAO.ai)
Pulkit Singh Singaria (https://x3ero0.tech)
Pumpkin (@u1f383) from DEVCORE Research Team
Raja Saim
research cỏ from Trung Tâm Săn Lỗi Lậu Hải Ngoại
Ruchi Pathak (www.linkedin.com/in/ruchipathakofficial)
Sebastian "mySebbe" Albrecht (https://github.com/mySebbe)
Sebastian Albrecht (https://sebastian-albrecht.de)
shiki
Steeve PAYRAUDEAU (https://carbone.io)
taeng0204 (https://github.com/taeng0204)
Taewoo Kim (ktwoo1998), CYTUR (https://cytur.net)
Taisic Yun (@taisic_) of Theori, with Xint
thetrueartist | Xander Mackenzie (https://thetrueartist.co.uk)
Trung Nguyen (@everping) of CyStack
Vincent Michel from Elephantastic (https://elephantastic.io)
Vitaly Simonovich (https://www.vitalysim.com/)
Warisse Valentin (Aytio)
Wesley “Alardiians” Colquitt ByteShyftStudios www.byteshyftstudios.com
WinD39 from Viettel Cyber Security (https://www.linkedin.com/in/dinh-vu-17922227a/)
yd1ng (https://yd1ng.me)
Yeonsu Jung (https://www.linkedin.com/in/yeonsu-jung/)
yokaihex (https://yokaihex.com)
Youngwoo Kwon (fullbbadda1208) (https://github.com/fullbbadda1208)
Yujie Xing, Shandong University
Zet from Cymetrics (https://zet.tw)
Zhao Runzi (赵润梓)
Lubin Leclanche (http://leclancheweb.fr/)

David Oxley
Abdelali Chekiel
Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
@sunscan@infosec.exchange
Mehedi Hasan (SecMiners BD) https://www.facebook.com/polapain.1337/
Philipp Tekeser-Glasz from HvS-Consulting GmbH (https://www.hvs-consulting.de)
Jesse Walker (IBM NS1 Connect)
Aron Binoy (https://www.instagram.com/aron_binoy)
dungnm with VCS Lab from Viettel Cyber Security
Sandro Poppi (https://medium.com/@spoppi)
Warisse Valentin (Aytio)
Nancy Chang
Yannik Marchand (https://reversing.live)
Andreas Rothenbacher (error401.de)
Simon Baaske (Serviceware)
Yash Vilas Chavhan (https://www.linkedin.com/in/yash-chavhan-a87a58205)
Alex Plaskett of NCC Group (https://www.nccgroup.com/)
aoxsin (https://x.com/aoxsin)
Sheikh Rishad (https://x.com/sheikhrishad0)
Noorsyaf zati il aqmar (https://bountyproofs.com/)
Deep Ghusani
Dalia Ibrahim (https://www.linkedin.com/in/dalia-ibrahim-64b81a19a/)
Jérémie Jacquand
Ha The Long (LongHT) and Nguyen Ba Nam Dung (ShortBNB)
Abhijit Chakrabarty (https://www.linkedin.com/in/abhijit-chakrabarty-54469a28b/)
Muhammed Al-Hijazi
Orange Tsailầm, da_doro, Nguyễn Bá Xuân Bắc and Hà Tự Long from Trung Tâm Săn Lỗi Lậu Hải Ngoại
Dror Peleg (@pelsecurity)
Allendraa A/L Anbalagan
Abba Abdulllahi Wakili (Security Researcher, Founder of Netclouts) (https://www.linkedin.com/in/abba-abdullahi-wakili-88b006346/)

Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
Tim Coen (https://security-consulting.icu/)
Mykola Grymalyuk from RIPEDA Consulting
Zhao Runzi (赵润梓)
Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
Offensive Security Research @ Ronin (https://ronin.ae/)
Nathan (Yama) https://DontClickThis.run
M Tayyab Iqbal (www.alphainferno.com)
Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
Wonbeen Im, STEALIEN (https://stealien.com)
赵润梓、李建申（https://lsr00ter.github.io）
Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
Steven Lin (https://x.com/5teven1in)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Mohd Ali (revengerali)
Orange Tsai (@orange_8361) from DEVCORE Research Team
Bocheng Xiang with FDU(@crispr)
HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
Hydrobikz (https://www.linkedin.com/in/bikash-)
Can Acar (https://imcan.dev)
Yves Bieri of Compass Security (https://www.compass-security.com)
DEVCORE Research Team (https://devco.re/)
aoxsin (https://twitter.com/aoxsin)
Josh "JD" Byrnes (https://jd.byrnes.au/)
Chanin Kim of ENKI Whitehat

Endure Secure (https://endsec.au)
Stephen Argent (https://www.runby.coffee/)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
Bruce Chen (https://twitter.com/bruce30262)
aoxsin (https://twitter.com/aoxsin)
Armanul Miraz
Jaehoon Jang, STEALIEN (https://stealien.com)
Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
Tim Coen (https://security-consulting.icu)
TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
Zhao Runzi (赵润梓)

Kevin Wang (https://twitter.com/kevingwn_ )
Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
Safwat Refaat (@Caesar302)
Jeffrey Baker (www.Biznet.net)
Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
Ravi (https://twitter.com/itsrvsinghh)
remonsec (https://twitter.com/remonsec)
TheLabda (https://thelabda.com)
Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
Sivanesh kumar (https://twitter.com/sivanesh_hacker)
Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
@aoxsin (https://twitter.com/aoxsin)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Hasibul Hasan Shawon (@Saiyan0x01)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
Lukas Kupczyk, CrowdStrike Intelligence
Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
Zhao Runzi (赵润梓)

Qian Chen (@cq674350529) from Codesafe Team of Legendsec at Qi'anxin Group
Patrik Fabian (https://websafe.hu)
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Jeenika Anadani (https://twitter.com/j33n1k4)
waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
Milan katwal (https://www.milankatwal.com.np/)
N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
Yimi Hu@baidu.com
Raman R Mohurle (https://twitter.com/Raman_Mohurle)
cmj (http://blog.cmj.tw/)
Parth Manek
Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
Dennis Herrmann (Code White GmbH)
Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Devender Rao (https://www.linkedin.com/in/devender-rao)
RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
Atharv Shejwal (https://kongsec.io)
Xavier DANEST (https://sustainability.decathlon.com/)
Aditya Shende (http://kongsec.io)
Andreas Rothenbacher (https://error401.de)
Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
Suraj SK (https://www.linkedin.com/in/suraj-sk/)
Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
Touhid Shaikh (https://securityium.com/)
N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
ddaa of TrapaSecurity (https://twitter.com/0xddaa)
Praveen Kumar
Oscar Spierings (https://polyform.dev)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
swings of Chaitin Security Research Lab
Hasibul Hasan Rifat (https://twitter.com/rifatsec)
Lanni
Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)

Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Lanni
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Vladislav Akimenko (Digital Security) (https://dsec.ru)
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Aditya Soni (https://www.linkedin.com/in/adtyasoni)
Mansoor Amjad (https://twitter.com/TheOutcastCoder)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
Mehedi Hasan Remon (twitter.com/remonsec)
Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
Mohammed Eldawody (www.fb.com/eldawody0)
YoKo Kho (https://twitter.com/YoKoAcc)
Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
Tinu Tomy (https://twitter.com/tinurock007)
Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Agrah Jain (www.linkedin.com/in/agrahjain)
Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
Pratik Vinod Yadav (https://twitter.com/PratikY9967)
Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
Jan KOPEC(https://twitter.com/blogresponder)
Denis Burtanović
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Georg Delp (https://www.linkedin.com/in/georgdelp/)

R Atik Islam (https://www.facebook.com/atik.islam.14661)
Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
Kitab Ahmed (www.ahmed.science)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
Rushi Gayakwad
Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
Sumit Jain (https://twitter.com/sumit_cfe)
Qian Chen of Qihoo 360 Nirvan Team
Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
Zhong Zhaochen
Tomasz Grabowski
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Safwat Refaat (https://twitter.com/Caesar302)
Agent22 (https://securelayer7.net/)
Hsiao-Yung Chen
Rich Mirch (https://blog.mirch.io)
Ronak Nahar (https://www.linkedin.com/in/naharronak/)
Noman Shaikh (https://twitter.com/nomanAli181)
David Deller (https://horizon-nigh.org)
Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
Touhid M Shaikh (https://touhidshaikh.com)
Abhishek Gaikwad
Kitabuddin Ahmed
Noman Shaikh (https://twitter.com/nomanAli181)
Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
Dan Thomsen (www.thomsen.fo)
Erik de Jong (https://eriknl.github.io)
Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
Hasibul Hasan (SecMiner)
Mohammed Eldawody (www.fb.com/eldawody0)
Chris Schneider
Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
Axel Peters
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Kyle Green
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Dankel Ahmed (https://hackerone.com/kitab)
ShuangYY
HackTrack Security
Muhammed Ashmil K K (Kavuthukandiyil)

Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
Kishan kumar (https://facebook.com/noobieboy007)
Lays (http://l4ys.tw)
Ashish Kumar (https://www.facebook.com/buggyashish)
Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
Ifrah Iman (http://www.ifrahiman.com)
Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
Taien Wang (https://www.linkedin.com/in/taienwang/)
Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
Yasser Gersy (https://twitter.com/yassergersy)
Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Oliver Kramer (https://www.linkedin.com/in/olikra/)
1N3@CrowdShield (https://crowdshield.com)
louys, Xie Wei (解炜), Li Yanlong (李衍龙)
Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
Ali Razzaq (https://twitter.com/AliRazzaq_)
丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
Alex Weber (www.broot.ca)
Alex Bastrakov (https://twitter.com/kazan71p)
Mehidia Tania (https://www.beetles.io)
freetsubasa (https://twitter.com/freetsubasa)
Łukasz Rutkowski (http://www.forit.pl/)
Maximilian Tews (www.linkedin.com/in/maximilian-tews)
Bryan Galao (https://www.facebook.com/xbryan.galao)
Jim Zhou (vip-cloud.cn)
Chun Han Hsiao
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Olivier Bédard
Mohamed Eldawody (https://www.facebook.com/Eldawody0)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
郑吉宏通过 GeekPwn 平台提交
Independent Security Evaluators (ISE) labs
Independent security researcher, MengHuan Yu, has reported this vulnerability to Beyond Security’s SecuriTeam Secure Disclosure program
B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
Uriya Yavnieli from VDOO (https://vdoo.com)
Jung Chan Hyeok
Zhong Zhaochen (http://asnine.com)

Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
Sumit Jain
Ketankumar B. Godhani (https://twitter.com/KBGodhani)
karthickumar (Ramanathapuram)
Alireza Azimzadeh Milani
Taien Wang (https://www.facebook.com/taien.tw)
Frédéric Crozat (http://blog.crozat.net/)
Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
SSD/Kacper Szurek
Alexander Drabek (https://www.2-sec.com/)
RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
Kushal Arvind Shah of Fortinet’s FortiGuard Labs
Alvin Poon (https://alvinpoon.myportfolio.com/)
C.shahidyan, C.Akilan, K.Sai Aswanth
BambooFox (https://bamboofox.github.io/)
Sajibe Kanti (https://twitter.com/sajibekantibd)
Huy Kha (linkedin.com/in/huykha)
Pal Patel (https://www.linkedin.com/in/pal434/)
Pethuraj M (https://www.linkedin.com/in/pethu/)
Ali Ashber (https://www.facebook.com/aliashber7)
Muzammil Abbas Kayani (@muzammilabbas2 )
Tayyab Qadir (facebook.com/tqMr.EditOr)
Babar Khan Akhunzada (www.SecurityWall.co)
Mahad Ahmed (https://octadev.com.pk)
JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
Mubassir Kamdar (http://www.mubassirkamdar.com)
Daniel Díez Tainta (https://twitter.com/danilabs)
Tushar Rawool (twitter.com/tkrawool)
Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
Ashish Kunwar (twitter: @D0rkerDevil)
Steven Hampton (Twitter: @Keritzy, https://stevenh.neocities.org/)
Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
Roopak Voleti (https://m.facebook.com/sairoopak.voleti)