安全性错误奖金计划
随着威胁的不断发展，以及频率和复杂程度的增加，Synology 正与安全研究人员合作，以便维持并进一步巩固我们的防护措施。
产品范围本计划仅接受与 Synology 的产品和网页服务相关的漏洞报告。不在计划范围内的漏洞报告通常不具备奖励资格；但是，根据具体情况，可能会接受关键漏洞的范围外报告。

操作系统

奖励高达

$30,000 美元

包括 Synology DiskStation Manager、Synology Router Manager 和 Synology BeeStation。

更多信息

软件和 C2 云服务

奖励高达

$10,000 美元

包括 Synology 开发的软件套件、相关移动应用程序和 C2 云服务。

更多信息

网页服务

奖励高达

$5,000 美元

包括所有主要 Synology 网页服务。

更多信息
奖励详情
奖励资格条件
请提供我们重现报告的问题所需的所有信息。具体奖励金额取决于所报告漏洞的严重性和受影响的产品类别。若要有资格获得奖励，报告必须满足以下条件：
  1. 奖励将授予优先提交有效报告且此前未知且未公开的漏洞
  2. 报告的漏洞已被确认可验证、可复现，并对我们用户的数据、设备或服务产生了实际的安全影响
  3. 您的报告遵守奖金计划条款和法规
报告安全性错误如果您认为您发现了漏洞，请按照以下步骤操作：
步骤 1

使用奖金计划联系表与我们联系。

步骤 2

向 Synology 发送错误报告时，请使用此 PGP 密钥加密您的信息。

步骤 3

包含详细的概念证明 (PoC) 并确保报告的问题可以重现。

步骤 4

使您的描述简明扼要。例如，简短的概念验证链接比解释 SSRF 问题后果的视频更受重视。

您和我们的责任您的报告为了缩短我们的处理时间，合格的漏洞报告应该：
  1. 包含条理清晰的分步说明（英文），描述如何重现漏洞
  2. 演示漏洞如何影响 Synology 产品或网页服务，并描述受影响的版本和平台
  3. 说明所报告漏洞造成的潜在损害
我们的回复
Synology 安全团队将在 7 天内回复您的报告，并根据所造成威胁的严重性定期更新状态并尽快修复漏洞。如果您的漏洞报告有资格获得奖金，您的姓名将在我们官方网站的 Synology 产品安全顾问页面上列出，以表示我们的感谢。此流程至少需要 90 天。您的奖励将在流程完成后发放给您。
注意：Synology 保留随时更改或取消此计划（包括其政策）的权利，恕不另行通知。
操作系统
奖励

合格报告有资格获得高达 $30,000 美元的奖励。*

范围内的产品

仅接受有关正式发布版本的报告。

DiskStation Manager (DSM)

  • DSM 7（新版本）

Synology Router Manager (SRM)

  • SRM 1.3（新版本）

Synology Camera 固件

  • 固件 1.1（新版本）

Synology BeeStation

  • BeeStation OS 1.0（新版本）
法规和限制

本计划严格限于在 Synology 产品和服务中发现的安全性漏洞。严禁可能对 Synology 服务器或数据造成潜在损害或不利影响的行为。漏洞测试不得违反当地或台湾省法律。

如果漏洞报告描述或涉及以下内容，则本计划不会接受这类报告：

  1. 针对 Synology 或用户服务器的 DoS（拒绝服务）攻击
  2. 会对 Synology 或用户的服务器或数据造成不利影响的漏洞测试
  3. 物理攻击或社会工程
  4. 未经 Synology 批准即披露错误信息
  5. 过时或已停止生命周期（EOL）的服务或产品中的非严重漏洞
  6. 仅影响过时 Web 浏览器的漏洞
  7. 大多数类型的暴力破解攻击
  8. 反射型 XSS 攻击或 Self XSS 攻击
  9. 涉及网络钓鱼、创建虚假网站或实施欺诈的漏洞
  10. 未详细说明漏洞影响的漏洞扫描报告
  11. 仅表明默认端口存在漏洞但未提供 PoC 的报告
  12. 缺少具体概念验证（PoC）的理论漏洞
  13. 单独的开放重定向通常仅被视为信息性问题，除非其促成更严重的漏洞，否则不符合奖励资格
  14. 不会直接导致漏洞利用的缺失安全标头
  15. Cookie 中缺失安全标志
  16. 用户枚举。除非您能证明我们未设置速率限制来保护用户，否则涉及用户枚举的报告不在范围内。
  17. 由集成的第三方 AI 服务固有行为引起，且不会导致针对用户的直接漏洞利用的漏洞
  18. 根本原因在于上游开源代码或第三方服务提供商，而非 Synology 所做的修改。
  19. 影响过时或已停止生命周期（EOL）服务或产品的严重漏洞是否符合资格，将由 Synology 根据具体情况自行决定。
  20. 需要处于中间人（MITM）位置或控制用户网络流量的问题。
  21. 未与有效网络漏洞串联的本地权限提升问题。
  22. 仅提供支持性证据（例如屏幕截图、日志，或通过 Burp Suite 或类似工具生成或重放的请求），但未提供能够证明攻击流程的独立概念验证的报告。
  23. 基于 QEMU 或其他模拟环境的报告。
*请参阅安全漏洞计划网页上的奖励详情页面以获取更多信息。
**SRM_LAN 漏洞的奖励高达 $5,000。
***摄像机固件漏洞的奖励高达 $10,000。
软件和 C2 云服务
奖励

合格报告有资格获得高达 $10,000 美元的奖励。*

范围内的产品

仅接受有关正式发布版本的报告。

套件

Synology 开发的软件套件

桌面客户端

Synology 开发的 Windows、macOS 和 Linux 应用程序

移动应用程序

Synology 开发的适用于 Android 和 iOS 的移动应用程序

Synology 帐户

  • *.account.synology.com 域
  • *.identity.synology.com 域

C2 服务

*.c2.synology.com 域

法规和限制

本计划严格限于在 Synology 产品和服务中发现的安全性漏洞。严禁可能对 Synology 服务器或数据造成潜在损害或不利影响的行为。漏洞测试不得违反当地或台湾省法律。

如果漏洞报告描述或涉及以下内容，则本计划不会接受这类报告：

  1. 针对 Synology 或用户服务器的 DoS（拒绝服务）攻击
  2. 会对 Synology 或用户的服务器或数据造成不利影响的漏洞测试
  3. 物理攻击或社会工程
  4. 未经 Synology 批准即披露错误信息
  5. 过时或已停止生命周期（EOL）的服务或产品中的非严重漏洞
  6. 仅影响过时 Web 浏览器的漏洞
  7. 大多数类型的暴力破解攻击
  8. 反射型 XSS 攻击或 Self XSS 攻击
  9. 涉及网络钓鱼、创建虚假网站或实施欺诈的漏洞
  10. 未详细说明漏洞影响的漏洞扫描报告
  11. 仅表明默认端口存在漏洞但未提供 PoC 的报告
  12. 缺少具体概念验证（PoC）的理论漏洞
  13. 单独的开放重定向通常仅被视为信息性问题，除非其促成更严重的漏洞，否则不符合奖励资格
  14. 不会直接导致漏洞利用的缺失安全标头
  15. Cookie 中缺失安全标志
  16. 用户枚举。除非您能证明我们未设置速率限制来保护用户，否则涉及用户枚举的报告不在范围内。
  17. 由集成的第三方 AI 服务固有行为引起，且不会导致针对用户的直接漏洞利用的漏洞
  18. 根本原因在于上游开源代码或第三方服务提供商，而非 Synology 所做的修改。
  19. 影响过时或已停止生命周期（EOL）服务或产品的严重漏洞是否符合资格，将由 Synology 根据具体情况自行决定。
  20. 需要处于中间人（MITM）位置或控制用户网络流量的问题。
  21. 未与有效网络漏洞串联的本地权限提升问题。
  22. 仅提供支持性证据（例如屏幕截图、日志，或通过 Burp Suite 或类似工具生成或重放的请求），但未提供能够证明攻击流程的独立概念验证的报告。
  23. 基于 QEMU 或其他模拟环境的报告。
  24. 桌面客户端和移动应用程序中的安全漏洞，需要本地访问权限、相邻网络访问权限或用户交互才能被利用，或者其远程利用取决于攻击者无法控制的条件。
*请参阅安全性错误计划网页上的奖励详情页面，以了解更多详细信息。
网页服务
奖励

合格报告有资格获得高达 $5,000 美元的奖励。*

范围内的产品

仅 *.synology.com 域名在范围内，不包括 openstack-ci-logs.synology.com、router.synology.com 和 ask.synology.com。

Synology 保留随时修改此列表的权利，恕不另行通知。

法规和限制

本计划严格限于在 Synology 产品和服务中发现的安全性漏洞。严禁可能对 Synology 服务器或数据造成潜在损害或不利影响的行为。漏洞测试不得违反当地或台湾省法律。

如果漏洞报告描述或涉及以下内容，则本计划不会接受这类报告：

  1. 针对 Synology 或用户服务器的 DoS（拒绝服务）攻击
  2. 会对 Synology 或用户的服务器或数据造成不利影响的漏洞测试
  3. 物理攻击或社会工程
  4. 未经 Synology 批准即披露错误信息
  5. https://*archive.synology.com 上的目录遍历
  6. 反射型文件下载
  7. 横幅抓取问题或软件版本泄露
  8. 在 90 天内披露的 0-day 漏洞
  9. 过时或已停止生命周期（EOL）的服务或产品中的非严重漏洞
  10. 仅影响过时 Web 浏览器的漏洞
  11. 大多数类型的暴力破解攻击
  12. 反射型 XSS 攻击或 Self XSS 攻击
  13. 涉及网络钓鱼、创建虚假网站或实施欺诈的漏洞
  14. 未详细说明漏洞影响的漏洞扫描报告
  15. 仅表明默认端口存在漏洞但未提供 PoC 的报告
  16. 缺少具体概念验证（PoC）的理论漏洞
  17. 单独的开放重定向通常仅被视为信息性问题，除非其促成更严重的漏洞，否则不符合奖励资格
  18. 不会直接导致漏洞利用的缺失安全标头
  19. Cookie 中缺失安全标志
  20. 用户枚举。除非您能证明我们未设置速率限制来保护用户，否则涉及用户枚举的报告不在范围内。
  21. 由集成的第三方 AI 服务固有行为引起，且不会导致针对用户的直接漏洞利用的漏洞
  22. 根本原因在于上游开源代码或第三方服务提供商，而非 Synology 所做的修改。
  23. 影响过时或已停止生命周期（EOL）服务或产品的严重漏洞是否符合资格，将由 Synology 根据具体情况自行决定。
  24. 需要处于中间人（MITM）位置或控制用户网络流量的问题。
  25. 仅提供支持性证据（例如屏幕截图、日志，或通过 Burp Suite 或类似工具生成或重放的请求），但未提供能够证明攻击流程的独立概念验证的报告。
*请参阅安全性错误计划网页上的奖励详情页面，以了解更多详细信息。
奖励详情
本页面旨在帮助研究人员了解针对特定漏洞类型的潜在奖励上限，并重点介绍了 Synology 非常重视的漏洞类型。我们重视您的贡献，并致力于对重要的安全性研究给予相当可观的奖励。表中的奖励显示针对每个类别的可能奖励上限，但并非每个符合资格的报告都能保证获得所列出的金额。*
严重
操作系统软件和 C2 云服务网页服务
Zero-click pre-auth RCE$30,000$10,000$5,000
Zero-click pre-auth arbitrary file r/w$10,000$5,000$2,500
重要
操作系统软件和 C2 云服务网页服务
1-click pre-auth RCE$4,000$2,000$1,000
Zero-click normal-user-auth RCE$3,750$1,950$950
Zero-click normal-user-auth arbitrary file r/w$3,250$1,700$850
Zero-click pre-auth RCE (AC:H)$3,250$1,700$850
1-click pre-auth RCE (AC:H)$2,500$1,250$650
pre-auth SQL injection$1,900$1,000$550
1-click normal-user-auth RCE (AC:H)$1,300$700$400
pre-auth stored XSS$1,300$700$400

注意：

  • 请注意，虽然提供了奖励指南，但每个报告都会进行单独处理和全面评估。评分会考虑各种因素，包括但不限于奖励说明中详述的范围。Synology 保留对奖励金额进行最终解释的权利。
  • 对于归类为“低严重性”或“建议”的问题，我们仅发送确认及感谢回复。
  • 对于需要普通用户或管理员权限、有效且不重复、未在上述列表中明确列出或被归类为中等严重性的漏洞，将分配 CVE ID，但不符合获得金钱奖励的条件。
常见问题我应该如何报告漏洞？请提供详细的 PoC（概念证明）并确保报告的问题可以重现。在向我们发送错误报告时，请使用 Synology 提供的此 PGP 密钥加密，请勿向第三方披露相关信息。谁负责确定我的错误报告是否符合奖励条件？所有错误报告均由 Synology 安全团队进行审查和评估，该团队由 Synology 的高阶安全分析师组成。如果在修复之前公开披露错误会有什么后果？我们会努力及时响应错误报告，并在合理时间内修复有关错误。请在您公开披露错误信息之前提前通知我们。不遵循此原则的错误披露都将不符合奖励条件。在过时的软件（如 Apache 或 Nginx）中发现的漏洞是否符合奖励条件？请识别软件中的漏洞，并说明您为何认为这些漏洞会对软件使用造成不利影响。缺少此类信息的报告通常不符合获取奖励的资格。另请注意，根据本计划，源自开源组件的漏洞不符合获取奖励的资格。如果漏洞已存在于上游项目中，且并非由 Synology 所做的修改引入，则适用此规定。我能否要求不在 Synology 安全顾问页面上列出我的姓名？可以。您可以要求不在我们的安全顾问页面上列出您的姓名。但如果您符合奖励条件并希望接受奖励，则仍需提供您的联系信息以便处理付款事宜。报告给漏洞代理的漏洞是否仍符合奖励条件？出于错误修复之外的目的，私自向第三方披露漏洞，则违背了我们设立此计划的初衷。因此，这类报告将不符合奖励条件。如有多人报告同一错误，谁有资格获得奖金？The reward is granted to the first person who discovers a vulnerability that was previously unknown to us. 
致谢我们想向帮助过我们的安全研究人员和组织致以敬意。
  • 0rca and TulongFeng
  • ABBA Labs
  • Abdul Halim (https://hackerone.com/belugaw)
  • Ade Putra Hermawan (https://x.com/0xkonde)
  • Adonis Ramos
  • Ahmed Mourad (https://www.linkedin.com/in/ahmed-mourad-82156a31b)
  • Akorede Abubakr Olaide (https://acsblog.kesug.com)
  • Alejandro Ramos (@aramosf)
  • Alexander Oerder
  • Ayon Hasan (www.linkedin.com/in/ayon0x0)
  • Ben R of Interrupt Labs (https://www.interruptlabs.co.uk)
  • Chaeeun Hur
  • chwrld (@chwrld24) (https://instagram.com/chwrld24) (https://x.com/chwrld24)
  • DungNBN (@greengrass19000) from Viettel Cyber Security Research Lab (@vcslab) working with q5cam and supersasuke19 from Trung Tâm Săn Lỗi Lậu Hải Ngoại
  • DungNBN (@greengrass19000) from Viettel Cyber Security Research Lab (@vcslab) working with rewhAI from Trung Tâm Săn Lỗi Lậu Hải Ngoại
  • DungNBN (@greengrass19000) from Viettel Cyber Security Research Lab (@vcslab) working with Scamman from Trung Tâm Săn Lỗi Lậu Hải Ngoại
  • Endure Secure (https://endsec.au)
  • Eugen Lague (https://www.linkedin.com/in/eugen-lague-b77ab6167)
  • GeonYeong Jo (STEALIEN) (https://stealien.com)
  • Griffin Francis
  • HAK-MZ Team (https://hak-mz.com)
  • Ivan Dominguez from Zerolynx
  • izut and Searat from the Web Hacker Team (https://github.com/web-hacker-team/)
  • Jan Majewski (https://www.linkedin.com/in/jan-m-8a1b20292/)
  • Jeongsik Kim (https://www.linkedin.com/in/jeongsik-kim-9b4077239)
  • Jincheng Wang (@winmt) from Nanjing University of Posts and Telecommunications
  • Joe Lovett
  • Josip Stjepanović
  • Juan Sukaton
  • juhye0p, ZZoMb1E (STEALIEN INC.) (https://stealien.com)
  • Juhyeop Lee (STEALIEN INC.) (https://www.stealien.com)
  • JUNYI LIU (@mosskappa)
  • Kazuma Matsumoto, a security researcher at GMO Cybersecurity by IERAE, Inc.
  • Kwon Youngwoo (fullbbadda1208) (https://github.com/fullbbadda1208)
  • Kyun0 (https://h4ck2.github.io/)
  • Lam Jun Rong and Javier Koh, Cyber Specialists of the Digital and Intelligence Service (DIS) working with the Centre for Strategic Infocomm Technologies (CSIT) and Dr Joseph Teo, CSIT
  • LE DUC KHUONG
  • leduckhuong
  • Lubin Leclanche
  • Mathias Kvist Aarup
  • Matúš Mandzák
  • mlgzackfly (@cymetrics) (https://mlgzackfly.tw)
  • Nguyễn Bá Nam Dũng (@greengrass19000) and Hà Thế Long (LongHT) from Viettel Cyber Security Research Lab (@vcslab)
  • Nicolas Hochart
  • Nuke (https://imnuke.dev)
  • Omar Hashem (https://www.linkedin.com/in/omar-1-hashem/)(https://x.com/omarhashem666)
  • p4p3r 싸이버원(CYBERONE) https://www.cyberone.kr/main
  • p4p3r(@P4P3R-HAK)
  • pandbx
  • Pelumi okeniyi (https://x.com/renewedcybs)
  • Peter Severa Levashov (https://www.SeveraDAO.ai)
  • Pulkit Singh Singaria (https://x3ero0.tech)
  • Pumpkin (@u1f383) from DEVCORE Research Team
  • Raja Saim
  • research cỏ from Trung Tâm Săn Lỗi Lậu Hải Ngoại
  • Ruchi Pathak (www.linkedin.com/in/ruchipathakofficial)
  • Sebastian "mySebbe" Albrecht (https://github.com/mySebbe)
  • Sebastian Albrecht (https://sebastian-albrecht.de)
  • shiki
  • Steeve PAYRAUDEAU (https://carbone.io)
  • taeng0204 (https://github.com/taeng0204)
  • Taewoo Kim (ktwoo1998), CYTUR (https://cytur.net)
  • Taisic Yun (@taisic_) of Theori, with Xint
  • thetrueartist | Xander Mackenzie (https://thetrueartist.co.uk)
  • Trung Nguyen (@everping) of CyStack
  • Vincent Michel from Elephantastic (https://elephantastic.io)
  • Vitaly Simonovich (https://www.vitalysim.com/)
  • Warisse Valentin (Aytio)
  • Wesley “Alardiians” Colquitt ByteShyftStudios www.byteshyftstudios.com
  • WinD39 from Viettel Cyber Security (https://www.linkedin.com/in/dinh-vu-17922227a/)
  • yd1ng (https://yd1ng.me)
  • Yeonsu Jung (https://www.linkedin.com/in/yeonsu-jung/)
  • yokaihex (https://yokaihex.com)
  • Youngwoo Kwon (fullbbadda1208) (https://github.com/fullbbadda1208)
  • Yujie Xing, Shandong University
  • Zet from Cymetrics (https://zet.tw)
  • Zhao Runzi (赵润梓)
  • David Oxley
  • Abdelali Chekiel
  • Sahil Shah (https://www.linkedin.com/in/sahilshah3276/)
  • @sunscan@infosec.exchange
  • Mehedi Hasan (SecMiners BD) https://www.facebook.com/polapain.1337/
  • Philipp Tekeser-Glasz from HvS-Consulting GmbH (https://www.hvs-consulting.de)
  • Jesse Walker (IBM NS1 Connect)
  • Aron Binoy (https://www.instagram.com/aron_binoy)
  • dungnm with VCS Lab from Viettel Cyber Security
  • Sandro Poppi (https://medium.com/@spoppi)
  • Warisse Valentin (Aytio)
  • Nancy Chang
  • Yannik Marchand (https://reversing.live)
  • Andreas Rothenbacher (error401.de)
  • Simon Baaske (Serviceware)
  • Yash Vilas Chavhan (https://www.linkedin.com/in/yash-chavhan-a87a58205)
  • Alex Plaskett of NCC Group (https://www.nccgroup.com/)
  • aoxsin (https://x.com/aoxsin)
  • Sheikh Rishad (https://x.com/sheikhrishad0)
  • Noorsyaf zati il aqmar (https://bountyproofs.com/)
  • Deep Ghusani
  • Dalia Ibrahim (https://www.linkedin.com/in/dalia-ibrahim-64b81a19a/)
  • Jérémie Jacquand
  • Ha The Long (LongHT) and Nguyen Ba Nam Dung (ShortBNB)
  • Abhijit Chakrabarty (https://www.linkedin.com/in/abhijit-chakrabarty-54469a28b/)
  • Muhammed  Al-Hijazi
  • Orange Tsailầm, da_doro, Nguyễn Bá Xuân Bắc and Hà Tự Long from Trung Tâm Săn Lỗi Lậu Hải Ngoại
  • Dror Peleg (@pelsecurity)
  • Allendraa A/L Anbalagan
  • Abba Abdulllahi Wakili (Security Researcher, Founder of Netclouts) (https://www.linkedin.com/in/abba-abdullahi-wakili-88b006346/)
  • Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
  • Tim Coen (https://security-consulting.icu/)
  • Mykola Grymalyuk from RIPEDA Consulting
  • Zhao Runzi (赵润梓)
  • Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
  • Offensive Security Research @ Ronin (https://ronin.ae/)
  • Nathan (Yama) https://DontClickThis.run
  • M Tayyab Iqbal (www.alphainferno.com)
  • Only Hack in Cave (tr4ce(Jinho Ju), neko_hat(Dohwan Kim), tw0n3(Han Lee), Hc0wl(GangMin Kim)) (https://github.com/Team-OHiC)
  • Wonbeen Im, STEALIEN (https://stealien.com)
  • 赵润梓、李建申（https://lsr00ter.github.io）
  • Cheripally Sathwik (https://www.instagram.com/ethical_hacker_sathwik)
  • Steven Lin (https://x.com/5teven1in)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
  • Mohd Ali (revengerali)
  • Orange Tsai (@orange_8361) from DEVCORE Research Team
  • Bocheng Xiang with FDU(@crispr)
  • HANRYEOL PARK, HYOJIN LEE, HYEOKJONG YUN, HYEONJUN LEE, DOWON KWAK, ZIEN (https://zi-en.io/)
  • Hydrobikz (https://www.linkedin.com/in/bikash-)
  • Can Acar (https://imcan.dev)
  • Yves Bieri of Compass Security (https://www.compass-security.com)
  • DEVCORE Research Team (https://devco.re/)
  • aoxsin (https://twitter.com/aoxsin)
  • Josh "JD" Byrnes (https://jd.byrnes.au/)
  • Chanin Kim of ENKI Whitehat
  • Endure Secure (https://endsec.au)
  • Stephen Argent (https://www.runby.coffee/)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
  • Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
  • Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
  • chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
  • Bruce Chen (https://twitter.com/bruce30262)
  • aoxsin (https://twitter.com/aoxsin)
  • Armanul Miraz
  • Jaehoon Jang, STEALIEN (https://stealien.com)
  • Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
  • Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
  • Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
  • Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
  • Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
  • TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
  • Tim Coen (https://security-consulting.icu)
  • TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
  • Zhao Runzi (赵润梓)
  • Kevin Wang (https://twitter.com/kevingwn_ )
  • Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
  • Safwat Refaat (@Caesar302)
  • Jeffrey Baker (www.Biznet.net)
  • Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
  • Ravi (https://twitter.com/itsrvsinghh)
  • remonsec (https://twitter.com/remonsec)
  • TheLabda (https://thelabda.com)
  • Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
  • pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
  • Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
  • Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
  • Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
  • Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
  • Sivanesh kumar (https://twitter.com/sivanesh_hacker)
  • Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
  • @aoxsin (https://twitter.com/aoxsin)
  • Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
  • Hasibul Hasan Shawon (@Saiyan0x01)
  • Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
  • Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
  • Lukas Kupczyk, CrowdStrike Intelligence
  • Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
  • Zhao Runzi (赵润梓)
  • Qian Chen (@cq674350529) from Codesafe Team of Legendsec at Qi'anxin Group
  • Patrik Fabian (https://websafe.hu)
  • Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
  • Jeenika Anadani (https://twitter.com/j33n1k4)
  • waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
  • Milan katwal (https://www.milankatwal.com.np/)
  • N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
  • Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
  • Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
  • Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
  • Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
  • Yimi Hu@baidu.com
  • Raman R Mohurle (https://twitter.com/Raman_Mohurle)
  • cmj (http://blog.cmj.tw/)
  • Parth Manek
  • Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
  • Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
  • Dennis Herrmann (Code White GmbH)
  • Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
  • Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
  • Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
  • Devender Rao (https://www.linkedin.com/in/devender-rao)
  • RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
  • Atharv Shejwal (https://kongsec.io)
  • Xavier DANEST (https://sustainability.decathlon.com/)
  • Aditya Shende (http://kongsec.io)
  • Andreas Rothenbacher (https://error401.de)
  • Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
  • Suraj SK (https://www.linkedin.com/in/suraj-sk/)
  • Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
  • Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
  • Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
  • Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
  • Touhid Shaikh (https://securityium.com/)
  • N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
  • Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
  • Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
  • ddaa of TrapaSecurity (https://twitter.com/0xddaa)
  • Praveen Kumar
  • Oscar Spierings (https://polyform.dev)
  • Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
  • swings of Chaitin Security Research Lab
  • Hasibul Hasan Rifat (https://twitter.com/rifatsec)
  • Lanni
  • Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
  • Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)
  • Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
  • Lanni
  • Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
  • Vladislav Akimenko (Digital Security) (https://dsec.ru)
  • Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
  • Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
  • Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
  • Aditya Soni (https://www.linkedin.com/in/adtyasoni)
  • Mansoor Amjad (https://twitter.com/TheOutcastCoder)
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady)
  • James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
  • Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
  • Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
  • Mehedi Hasan Remon (twitter.com/remonsec)
  • Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
  • Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
  • Mohammed Eldawody (www.fb.com/eldawody0)
  • YoKo Kho (https://twitter.com/YoKoAcc)
  • Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
  • Tinu Tomy (https://twitter.com/tinurock007)
  • Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
  • Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
  • Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
  • Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
  • Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
  • Agrah Jain (www.linkedin.com/in/agrahjain)
  • Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
  • Pratik Vinod Yadav (https://twitter.com/PratikY9967)
  • Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
  • Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
  • Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
  • Jan KOPEC(https://twitter.com/blogresponder)
  • Denis Burtanović
  • Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
  • Georg Delp (https://www.linkedin.com/in/georgdelp/)
  • R Atik Islam (https://www.facebook.com/atik.islam.14661)
  • Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
  • Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
  • Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
  • Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
  • Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
  • Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
  • Kitab Ahmed (www.ahmed.science)
  • Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
  • Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
  • Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
  • Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
  • Rushi Gayakwad
  • Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
  • Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
  • Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
  • Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
  • Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
  • Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
  • Sumit Jain (https://twitter.com/sumit_cfe)
  • Qian Chen of Qihoo 360 Nirvan Team
  • Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
  • Zhong Zhaochen
  • Tomasz Grabowski
  • Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
  • Safwat Refaat (https://twitter.com/Caesar302)
  • Agent22 (https://securelayer7.net/)
  • Hsiao-Yung Chen
  • Rich Mirch (https://blog.mirch.io)
  • Ronak Nahar (https://www.linkedin.com/in/naharronak/)
  • Noman Shaikh (https://twitter.com/nomanAli181)
  • David Deller (https://horizon-nigh.org)
  • Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
  • Touhid M Shaikh (https://touhidshaikh.com)
  • Abhishek Gaikwad
  • Kitabuddin Ahmed
  • Noman Shaikh (https://twitter.com/nomanAli181)
  • Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
  • Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
  • Dan Thomsen (www.thomsen.fo)
  • Erik de Jong (https://eriknl.github.io)
  • Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
  • AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
  • Hasibul Hasan (SecMiner)
  • Mohammed Eldawody (www.fb.com/eldawody0)
  • Chris Schneider
  • Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
  • Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
  • Axel Peters
  • Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
  • Kyle Green
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady)
  • Dankel Ahmed (https://hackerone.com/kitab)
  • ShuangYY
  • HackTrack Security
  • Muhammed Ashmil K K (Kavuthukandiyil)
  • Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
  • Kishan kumar (https://facebook.com/noobieboy007)
  • Lays (http://l4ys.tw)
  • Ashish Kumar (https://www.facebook.com/buggyashish)
  • Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
  • Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
  • Ifrah Iman (http://www.ifrahiman.com)
  • Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
  • Taien Wang (https://www.linkedin.com/in/taienwang/)
  • Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
  • குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
  • Yasser Gersy (https://twitter.com/yassergersy)
  • Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady)
  • Oliver Kramer (https://www.linkedin.com/in/olikra/)
  • 1N3@CrowdShield (https://crowdshield.com)
  • louys, Xie Wei (解炜), Li Yanlong (李衍龙)
  • Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
  • Ali Razzaq (https://twitter.com/AliRazzaq_)
  • 丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
  • Alex Weber (www.broot.ca)
  • Alex Bastrakov (https://twitter.com/kazan71p)
  • Mehidia Tania (https://www.beetles.io)
  • freetsubasa (https://twitter.com/freetsubasa)
  • Łukasz Rutkowski (http://www.forit.pl/)
  • Maximilian Tews (www.linkedin.com/in/maximilian-tews)
  • Bryan Galao (https://www.facebook.com/xbryan.galao)
  • Jim Zhou (vip-cloud.cn)
  • Chun Han Hsiao
  • Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
  • Olivier Bédard
  • Mohamed Eldawody (https://www.facebook.com/Eldawody0)
  • Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
  • 郑吉宏通过 GeekPwn 平台提交
  • Independent Security Evaluators (ISE) labs
  • Independent security researcher, MengHuan Yu, has reported this vulnerability to Beyond Security’s SecuriTeam Secure Disclosure program
  • B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
  • Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
  • Uriya Yavnieli from VDOO (https://vdoo.com)
  • Jung Chan Hyeok
  • Zhong Zhaochen (http://asnine.com)
  • Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
  • Sumit Jain
  • Ketankumar B. Godhani (https://twitter.com/KBGodhani)
  • karthickumar (Ramanathapuram)
  • Alireza Azimzadeh Milani
  • Taien Wang (https://www.facebook.com/taien.tw)
  • Frédéric Crozat (http://blog.crozat.net/)
  • Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
  • SSD/Kacper Szurek
  • Alexander Drabek (https://www.2-sec.com/)
  • RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
  • Kushal Arvind Shah of Fortinet’s FortiGuard Labs
  • Alvin Poon (https://alvinpoon.myportfolio.com/)
  • C.shahidyan, C.Akilan, K.Sai Aswanth
  • BambooFox (https://bamboofox.github.io/)
  • Sajibe Kanti (https://twitter.com/sajibekantibd)
  • Huy Kha (linkedin.com/in/huykha)
  • Pal Patel (https://www.linkedin.com/in/pal434/)
  • Pethuraj M (https://www.linkedin.com/in/pethu/)
  • Ali Ashber (https://www.facebook.com/aliashber7)
  • Muzammil Abbas Kayani (@muzammilabbas2 )
  • Tayyab Qadir (facebook.com/tqMr.EditOr)
  • Babar Khan Akhunzada (www.SecurityWall.co)
  • Mahad Ahmed (https://octadev.com.pk)
  • JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
  • Mubassir Kamdar (http://www.mubassirkamdar.com)
  • Daniel Díez Tainta (https://twitter.com/danilabs)
  • Tushar Rawool (twitter.com/tkrawool)
  • Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
  • Ashish Kunwar (twitter: @D0rkerDevil)
  • Steven Hampton (Twitter: @Keritzy, https://stevenh.neocities.org/)
  • Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
  • Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
  • Roopak Voleti (https://m.facebook.com/sairoopak.voleti)