NEW
Hemos lanzado la beta abierta de Worksection 2.0! Vista previa
WORKSECTION

Política de Divulgación de Vulnerabilidades

Intro­duc­ción

Esta Políti­ca de Divul­gación de Vul­ner­a­bil­i­dades (VDP) se apli­ca a cualquier vul­ner­a­bil­i­dad que con­sid­eres infor­mar a Work­sec­tion. Por favor, lee esta VDP com­ple­ta­mente antes de repor­tar una vul­ner­a­bil­i­dad, y actúa siem­pre en cumplim­ien­to con ella.

Agrade­ce­mos enorme­mente a las per­sonas que ded­i­can su tiem­po y esfuer­zo para rev­e­lar de man­era respon­s­able vul­ner­a­bil­i­dades de seguri­dad de acuer­do con esta políti­ca. Apre­ci­amos a los inves­ti­gadores que nos ayu­dan en nue­stros esfuer­zos de seguri­dad y exten­demos nues­tra grat­i­tud de ante­mano por tu pre­sentación y discreción.

Tu prue­ba no debe vio­lar ningu­na ley ni inter­rum­pir o com­pro­m­e­ter ningún dato que no te pertenez­ca. Si encuen­tras una vul­ner­a­bil­i­dad poten­cial que per­mi­ta acced­er a datos o recur­sos restringi­dos, debes noti­fi­carnos de inmedi­a­to; no con­tinúes inves­ti­gan­do la vul­ner­a­bil­i­dad por tu cuenta.

Alcance

Esta políti­ca se apli­ca al sigu­iente dominio: https://​work​sec​tion​.com/

Ori­entación

Mien­tras fomen­ta­mos encar­e­ci­da­mente el des­cubrim­ien­to y la divul­gación respon­s­ables de vul­ner­a­bil­i­dades, cier­tas acciones están estric­ta­mente pro­hibidas. Por favor, abstente de par­tic­i­par en las sigu­ientes actividades:
  • Realizar acciones que puedan ten­er un impacto neg­a­ti­vo en la Empre­sa o en sus usuar­ios, como enviar spam, lle­var a cabo ataques de fuerza bru­ta o lan­zar ataques de Dene­gación de Ser­vi­cio. Asimis­mo, evi­ta cualquier prue­ba que pue­da afec­tar el acce­so al sis­tema o causar daños a los datos.
  • Acced­er o inten­tar acced­er a cualquier dato o infor­ma­ción que no te pertenez­ca. Es impor­tante respetar los límites de acce­so autorizado.
  • Destru­ir, cor­romper o inten­tar destru­ir o cor­romper cualquier dato o infor­ma­ción que no te pertenez­ca. Pro­tégé la inte­gri­dad y con­fi­den­cial­i­dad de los datos.
  • Uti­lizar her­ramien­tas de esca­neo inva­si­vas o destruc­ti­vas de alta inten­si­dad con el propósi­to de iden­ti­ficar vul­ner­a­bil­i­dades. Tales her­ramien­tas no deben ser empleadas, ya que pueden causar inter­rup­ciones innecesarias.
  • Par­tic­i­par en prue­bas físi­cas, incluyen­do inten­tar acced­er a ofic­i­nas, explotar puer­tas abier­tas o hac­er tail­gat­ing. Las téc­ni­cas de inge­niería social, como el phish­ing o el vish­ing, tam­bién están pro­hibidas. Enfó­cate úni­ca­mente en prue­bas téc­ni­cas de vulnerabilidad.
  • Realizar activi­dades de inge­niería social dirigi­das a los miem­bros del equipo, con­tratis­tas o usuar­ios de la Empre­sa. Respe­ta la pri­vaci­dad y con­fi­an­za de las per­sonas aso­ci­adas con nues­tra organización.
  • Vio­lar cualquier ley o infringir acuer­dos en tu búsque­da por des­cubrir vul­ner­a­bil­i­dades. Adhiérete a los límites legales y éti­cos durante todo el proceso.
Al adherirte a estas pau­tas, ase­guras que tus activi­dades de des­cubrim­ien­to de vul­ner­a­bil­i­dades se real­i­cen de man­era respon­s­able y legal.

Exclu­siones del alcance

Los sigu­ientes hal­laz­gos son especí­fi­ca­mente no rec­om­pens­ables den­tro de este programa:
  • Divul­gación de archivos o direc­to­rios públi­cos cono­ci­dos (por ejem­p­lo, robots.txt)
  • Click­jack­ing y cier­tos prob­le­mas explota­bles solo a través de clickjacking
  • Cross-Site Request Forgery de cierre de sesión (logout CSRF)
  • Captcha débil
  • Fal­ta de ban­deras de cook­ie Segu­ra y HTTPOnly
  • Reg­istros SPF/DKIM mal con­fig­u­ra­dos o ausentes
  • Fal­ta de mejores prác­ti­cas de SSL/TLS
  • Vul­ner­a­bil­i­dades de DDoS
  • Fal­tantes encabeza­dos de seguri­dad HTTP, por ejem­p­lo: Strict-Trans­port-Secu­ri­ty, X‑Frame-Options, X‑XSS-Pro­tec­tion, X‑Con­tent-Type-Options, Con­tent-Secu­ri­ty-Pol­i­cy, X‑Con­tent-Secu­ri­ty-Pol­i­cy, X‑We­bKit-CSP, Content-Security-Policy-Report-Only
  • Ver­siones de soft­ware desactualizadas
  • Vul­ner­a­bil­i­dades que afectan a usuar­ios de nave­g­adores o platafor­mas desactualizadas
  • Activi­dades de inge­niería social, phish­ing, físi­cas u otras activi­dades fraudulentas
  • Auto-XSS que no puede ser uti­liza­do para explotar a otros usuarios
  • Vul­ner­a­bil­i­dades en com­po­nentes de terceros
  • Errores que requieren inter­ac­ciones de usuario extremada­mente poco probables
  • Suplantación de con­tenido y prob­le­mas de inyec­ción de tex­to sin un vec­tor de ataque real y/​o sin poder mod­i­ficar HTML
  • Toma de con­trol de sub­do­minio sin prue­ba de concepto
  • Squat­ting de dominio u otras espec­u­la­ciones de dominio
  • Vul­ner­a­bil­i­dades que requieren acce­so físi­co al dis­pos­i­ti­vo de un usuario
  • Informes de vul­ner­a­bil­i­dades gen­er­a­dos por escáneres o cualquier her­ramien­ta de explotación autom­a­ti­za­da o activa
  • Vul­ner­a­bil­i­dades que involu­cran con­tenido acti­vo, como com­ple­men­tos de nave­g­ador web
  • Dene­gación de ser­vi­cio (DoS/​DDoS) y spam (SMS, correo elec­tróni­co, etc.)
  • La may­oría de prob­le­mas de fuerza bru­ta sin un impacto claro
  • Páne­les de ini­cio de sesión públi­ca­mente acce­si­bles sin prue­ba de explotación
  • Divul­gación de infor­ma­ción públi­ca de usuar­ios, así como infor­ma­ción no sen­si­ble y mod­er­ada­mente sensible

Infor­mar una vulnerabilidad

Si has des­cu­bier­to una posi­ble vul­ner­a­bil­i­dad de seguri­dad en nues­tra platafor­ma, te solici­ta­mos amable­mente que la informes direc­ta­mente al equipo de seguri­dad de la Empre­sa a través del correo elec­tróni­co security@​worksection.​ua. Esto ase­gu­ra que tu informe nos llegue ráp­i­da­mente, per­mi­tién­donos respon­der de man­era más efec­ti­va. Por favor, evi­ta enviar el informe a nues­tra direc­ción de correo elec­tróni­co gen­er­al o a través del chat de soporte.

Para man­ten­er la con­fi­den­cial­i­dad de la vul­ner­a­bil­i­dad, te ped­i­mos que evites pre­sen­tar un prob­le­ma públi­co o dis­cu­tir­lo en platafor­mas de redes sociales como Twit­ter o GitHub. Agrade­ce­mos tu coop­eración en man­ten­er la comu­ni­cación sobre la vul­ner­a­bil­i­dad con­fi­den­cial entre tú y nue­stro equipo. Por favor, abstente de com­par­tir tus informes o cualquier evi­den­cia con otros usuar­ios o empresas.

Al enviar un informe de vul­ner­a­bil­i­dad, asegúrate de que incluya la sigu­iente infor­ma­ción esencial:
  • Títu­lo claro y rel­e­vante. Pro­por­ciona un títu­lo con­ciso y descrip­ti­vo que refle­je con pre­cisión la nat­u­raleza de la vulnerabilidad.
  • Servicio/​API afec­ta­da. Indi­ca clara­mente el ser­vi­cio o API especí­fi­co que está afec­ta­do por la vul­ner­a­bil­i­dad. Esto nos ayu­da a com­pren­der ráp­i­da­mente el alcance del problema.
  • Detalles de la vul­ner­a­bil­i­dad e impacto. Expli­ca min­u­ciosa­mente la vul­ner­a­bil­i­dad, inclu­i­dos sus detalles téc­ni­cos y el impacto poten­cial en nue­stros sis­temas o usuar­ios. Pro­por­ciona sufi­ciente infor­ma­ción para ayu­darnos a com­pren­der la nat­u­raleza y gravedad de la vulnerabilidad.
  • Pasos para repro­ducir / Prue­ba de con­cep­to. Incluye instruc­ciones detal­ladas sobre cómo repro­ducir la vul­ner­a­bil­i­dad, preferi­ble­mente acom­pañadas de una Prue­ba de Con­cep­to (PoC). La PoC puede pre­sen­tarse en diver­sas for­mas como una demostración en video, cap­turas de pan­talla de her­ramien­tas como Burp Suite, coman­dos curl o frag­men­tos de códi­go rel­e­vantes. Estos mate­ri­ales nos ayu­dan a ver­i­ficar y com­pren­der mejor la vulnerabilidad.
  • Cualquier otro detalle impor­tante. Sién­tete libre de incluir cualquier infor­ma­ción adi­cional que con­sid­eres rel­e­vante o útil para nues­tra com­pren­sión de la vul­ner­a­bil­i­dad. Esto puede incluir con­fig­u­ra­ciones del sis­tema, reg­istros rel­e­vantes o cualquier otra doc­u­mentación de apoyo que pue­da ayu­dar en el pro­ce­so de resolución.
Al pro­por­cionar un informe com­ple­to que incluya estos ele­men­tos, con­tribuyes enorme­mente a que podamos eval­u­ar y abor­dar efi­cien­te­mente la vul­ner­a­bil­i­dad reportada.

Qué sucede después de repor­tar una vulnerabilidad

Después de que hayas envi­a­do tu informe, lo analizare­mos en tér­mi­nos de impacto, gravedad y com­ple­ji­dad de explotación. Si con­sid­er­amos que es rel­e­vante, te respon­der­e­mos den­tro de los quince (15) días hábiles. Te man­ten­dremos infor­ma­do de nue­stro progreso.

Una vez que se haya reme­di­a­do la vul­ner­a­bil­i­dad repor­ta­da, te noti­fi­care­mos, y podrías ser invi­ta­do a con­fir­mar que la solu­ción cubre ade­cuada­mente la vul­ner­a­bil­i­dad. Acep­ta­mos solic­i­tudes para divul­gar tu informe una vez que se haya resuel­to tu vul­ner­a­bil­i­dad. Sin embar­go, por favor, abstente de com­par­tir infor­ma­ción sobre cualquier vul­ner­a­bil­i­dad des­cu­bier­ta durante 90 días nat­u­rales después de recibir nues­tra con­fir­ma­ción de recep­ción de tu informe.

Rec­om­pen­sas

Por lo gen­er­al, no ofre­ce­mos rec­om­pen­sas en efec­ti­vo por las pre­senta­ciones. Sin embar­go, podríamos hac­er una excep­ción en el caso de errores críti­cos váli­dos e informes de alta cal­i­dad. El mon­to de la rec­om­pen­sa se deter­mi­nará según el impacto máx­i­mo de la vul­ner­a­bil­i­dad. Los informes que están bien redac­ta­dos y se con­sid­er­an útiles tienen una may­or prob­a­bil­i­dad de ser con­sid­er­a­dos para una recompensa.

Por favor, ten en cuen­ta que solo la primera per­sona en infor­mar un defec­to pre­vi­a­mente descono­ci­do cal­i­fi­caría para una recompensa.

Acuerdo de Referencia

. . . .

Acuerdo de Asociación

. . . .

Política de Privacidad

. . . .

Política de Cookies

. . . .

Lista de subprocesadores

. . . .

Anexo de Procesamiento de Datos (DPA)

. . . .

Acuerdo de Usuario

. . . .