Vorlaxen // Güvenlik Açığı Bildirim Programı

Try to break in.

Sistem mimarisi, teknoloji yığını veya dahili çalışma mantığı paylaşılmaz. Aşağıdaki kurallar dahilinde zafiyet tespit edersen bildir.

PGP Parmak İzi:

Genel Anahtar (.txt)|security.txt

C009 644E A884 DD13 B711 2366 6D3E EB46 8E20 23A9

Bildirim Gönder Kurallar Safe Harbor Onur Listesi

[+] İzin Verilen Kapsam

Kimlik Doğrulama & Oturum Atlama
Oturum süre aşımı, token manipülasyonu, yetki yükseltme veya diğer hesaplara yetkisiz erişim.
Kriptografik Durum & Hash Tahrifatı
Durum sahteciliği, imza bütünlüğünü bozma veya hash zincirini atlatma.
Yarış Koşulları (Race Conditions)
Eşzamanlı isteklerle durum manipülasyonu, mükerrer token harcama veya işlem sırası ihlali.
Enjeksiyon & Kod Yürütme
SQL/NoSQL enjeksiyonları, dizin aşma veya uzaktan komut çalıştırma.
İş & Yetkilendirme Mantığı Hataları
Doğrudan nesne referansı (IDOR), yetkisiz ayar değiştirme veya kural atlatma.

[-] Yasak Kapsam

Volumetrik Ağ DDoS
Bant genişliğini boğma, SYN flood, UDP amplifikasyonu veya ağ bağlantısını tıkama.
Sosyal Mühendislik & Oltalama
Çalışanlara yönelik oltalama (phishing), kimlik taklidi veya fiziksel sızma.
Üçüncü Parti Altyapı Sağlayıcıları
Doğrudan üçüncü parti bulut sunucularına, DNS kök sağlayıcılarına veya harici sağlayıcı uçlarına saldırmak. Vorlaxen tarafındaki entegrasyon noktaları, webhook alıcıları ve veri işleme mantığı ise tamamen kapsam içindedir.
Veri İmhası & Fidyecilik
Veritabanlarını silme, sistemleri rehin alma veya kullanıcı verilerini tahrip etme.
Gürültülü / Kör Otomatik Tarayıcılar
Sistemin hız limitlerini (rate-limit) aşan, sunucu kaynaklarını tüketmeye yönelik kör ve agresif taramalar. API limitlerine saygılı, hedef odaklı ve kontrollü otomatik script/araç kullanımı serbesttir.

Ödül Durumu: Şu anda maddi ödül (bounty) programı yoktur. Yalnızca kurallara uygun doğrulanmış zafiyetler için yasal koruma (Safe Harbor) ve Onur Listesi'nde listelenme sağlanır.

Yasal Güvence (Safe Harbor Anlaşması)

Araştırmacının aşağıdaki şartlara uyması durumunda Vorlaxen, eylemlerin iyi niyetli güvenlik araştırması kapsamında gerçekleştiğini kabul eder. TCK m. 243 (Bilişim sistemine hukuka aykırı girme) veya m. 244 (Sistemi engelleme, bozma, verileri yok etme veya değiştirme) kapsamında cezai şikayette bulunulmayacağını ve hukuk davası açılmayacağını taahhüt eder:

Yalnızca ilan edilen kapsam içi alanlarda ve kendi açtığınız test hesapları/verileri üzerinde test yapılması,
Kullanıcı verilerine veya hizmet sürekliliğine kasti zarar verilmemesi, veri silinmemesi veya değiştirilmemesi,
Aksi yazılı olarak kararlaştırılmadıkça, güvenlik açığının mutabakat sağlanana dek doğrudan security@vorlaxen.com dışında üçüncü taraflarla paylaşılmaması.

Bu anlaşma ve yürütülen tüm güvenlik araştırmaları Türkiye Cumhuriyeti kanunlarına tabidir. Uyuşmazlıklarda İstanbul Mahkemeleri ve İcra Daireleri münhasıran yetkilidir.

Vorlaxen, araştırmacının test faaliyetleri esnasında kendi donanımında, internet bağlantısında veya üçüncü taraflarla ilişkilerinde meydana gelebilecek hiçbir dolaylı veya doğrudan zarardan sorumlu tutulamaz. Testler tamamen araştırmacının kendi takdir ve inisiyatifindedir.

Kişisel Verilerin Korunması (KVKK / GDPR)

Testler sırasında yanlışlıkla gerçek bir kullanıcıya veya sisteme ait hassas kişisel veriye erişilirse:

Erişilen veriyi indirmek, kopyalamak, yaymak, değiştirmek veya yerel sistemlere kaydetmek kesinlikle yasaktır. Test logları yalnızca bildirim raporunu derlemek için zorunlu olan asgari kapsamda tutulabilir ve yama sonrasında kalıcı olarak imha edilmelidir.
Kavram kanıtlama (PoC) amacıyla yalnızca zafiyetin varlığını ispatlayacak minimum veri parçası (maskelenmiş ekran görüntüsü vb.) kullanılmalıdır.
Tespit derhal Vorlaxen güvenlik ekibine bildirilmeli ve hafızadaki/araçlardaki geçici kayıtlar silinmelidir.

Koordineli Zafiyet Bildirim Süreci (Coordinated Disclosure)

1. İlk Yanıt (48 Saat)

Gönderilen zafiyet raporu en geç 48 iş saati içinde incelenerek araştırmacıya ulaştığı teyit edilir.

2. Doğrulama ve Önceliklendirme (5 İş Günü)

Bulgu güvenlik ekibimizce test edilir, geçerliliği doğrulanır ve CVSS skoru belirlenir.

3. Düzeltme Süresi (30-90 Gün)

Kritik zafiyetler için 30 gün, standart zafiyetler için maksimum 90 gün içinde yama canlıya alınır.

4. Kamuya Açıklama & Teşekkür Sertifikası

Yama deploy edildikten sonra araştırmacının adı Onur Listesi'ne eklenir, resmi Dijital Teşekkür Sertifikası verilir ve güvenlik bültenlerinde adı anılır. Aksi yazılı kararlaştırılmadıkça araştırmacı teknik bulgularını bu aşamadan sonra kamuya açıklayabilir.

Onur Listesi (Hall of Fame)

Savunma hattında doğrulanmış zafiyet bildiren araştırmacılar:

Henüz doğrulanmış bir bildirim bulunmuyor.