باگ پیدا کردی؟
گزارشش کن.

اهمیت هر گزارش به این بستگی داره که کدوم بخش رو درگیر می‌کنه. هرچی به پول، ورود و اطلاعاتِ کاربرها نزدیک‌تر باشه، مهم‌تره.

• تصاحب حساب کاربری (Account Takeover)
• دستکاری مبلغ یا موجودی کیف پول و دور زدن پرداخت
• دسترسی به داده یا حساب کاربران دیگر (IDOR)
• دور زدن ورود، کد تأیید یا کپچا
• دسترسی غیرمجاز به پنل مدیریت یا ارتقای سطح دسترسی
• تزریق SQL یا دستور (Injection)
• XSS ذخیره‌شده
• آپلود فایل مخرب

• Self-XSS (کدی که خودِ کاربر توی کنسول مرورگرش می‌چسبونه)
• مهندسی اجتماعی، فیشینگ، حمله‌ی فیزیکی و اسپم
• حملات DoS/DDoS و ترافیک‌سازی سنگین
• Brute-force و گزارش نبودِ محدودیت نرخ، بدون تأثیر واقعی
• نبودِ هدرهای امنیتی یا رعایت‌نشدن best-practice، بدون اکسپلویت
• خروجی اسکنرهای خودکار بدون اثبات عملی
• گزارش قدیمی‌بودن نسخه‌ی کتابخانه‌ها بدون اکسپلویت
• Clickjacking بدون اقدام حساس
• باگ‌هایی که فقط روی مرورگرهای خیلی قدیمی رخ می‌دن

هدف کمک کردنه، نه آسیب زدن. با ثبت گزارش، این قانون‌ها رو می‌پذیری:

• در هر گزارش فقط یک آسیب‌پذیری را شرح بده.
• به کاربرها و داده‌هاشون آسیب نزن — فقط با حساب آزمایشیِ خودت تست کن.
• داده‌ی هیچ کاربری را نخوان، تغییر نده و پاک نکن.
• سرویس را مختل نکن (بدون DoS و بدون اسکن سنگین و خودکار).
• تا وقتی باگ رفع و با ما هماهنگ نشده، عمومی‌اش نکن.
• برای رفع باگ به ما فرصت معقول بده.

⚠️ پیدا کردن باگ بهانه‌ی آسیب زدن نیست. هر کاری که به کاربرها، داده‌هاشون یا در دسترس بودنِ سایت آسیب بزنه، خارج از این برنامه‌ست و ممکنه پیگرد قانونی داشته باشه.

• یک آسیب‌پذیری، واضح و خلاصه.
• مراحل دقیق بازتولید (قدم‌به‌قدم).
• سناریوی حمله: چه خطری داره و چطور می‌شه ازش سوءاستفاده کرد.
• اثبات آسیب‌پذیری (اسکرین‌شات، ویدیو یا کد).
• نسخه‌ی مرورگر و سیستم‌عاملی که باهاش تست کردی.