Security Bug Bounty Program

Ámbito del producto

Este programa solo acepta informes de vulnerabilidad relacionados con los productos y servicios web de Synology. Los informes de vulnerabilidad que están fuera del alcance del programa generalmente no califican para recompensas; sin embargo, los informes fuera de alcance de vulnerabilidades críticas pueden ser aceptados dependiendo de la situación.

Sistemas operativos

Recompensas de hasta

30000

Incluye Synology DiskStation Manager, Synology Router Manager y Synology BeeStation.

Obtener más información

Software y servicios en la nube C2

Recompensas de hasta

10000

Incluye paquetes de software desarrollados por Synology, aplicaciones móviles relacionadas y servicios en la nube C2.

Obtener más información

Web servicios

Recompensas de hasta

5000

Incluye todos los principales servicios web de Synology.

Obtener más información

Detalles de la recompensa

Criterios de elegibilidad para recompensas

Proporciona cualquier información que necesitemos para reproducir los problemas reportados. El tamaño de cada recompensa depende de la gravedad de la vulnerabilidad reportada y de la categoría del producto afectado.

Para calificar para recompensas monetarias, los informes deben cumplir con los siguientes criterios:

Eres el primer investigador en reportar esta vulnerabilidad
La vulnerabilidad reportada está confirmada como verificable, replicable y un problema de seguridad válido
Tu informe cumple con los términos y regulaciones del Programa de Recompensas

Reporte de errores de seguridad

Si crees que has encontrado una vulnerabilidad, sigue los pasos a continuación:

Paso 1

Póngase en contacto con nosotros mediante el formulario de contacto del Programa de recompensas.

Paso 2

Utilice esta clave PGP para cifrar su información al enviar informes de errores a Synology.

Paso 3

Incluye un concepto de prueba (PoC) detallado y asegúrate de que los problemas reportados puedan ser reproducidos.

Paso 4

Mantén tu descripción sucinta. Por ejemplo, un enlace de prueba de concepto corto es más valorado que un video que explica las consecuencias de un problema de SSRF.

Tus y nuestras responsabilidades

Tu informe

Para reducir nuestro tiempo de procesamiento, un buen informe de vulnerabilidad debe:

Contener una descripción claramente escrita paso a paso en inglés de cómo reproducir la vulnerabilidad
Demostrar cómo la vulnerabilidad afecta a los productos o servicios web de Synology, y describir qué versiones y plataformas están afectadas
Indicar el daño potencial causado por la vulnerabilidad reportada

Nuestra respuesta

El equipo de seguridad de Synology responderá a tu informe en 7 días y actualizará regularmente el estado y corregirá la vulnerabilidad lo antes posible, dependiendo de la gravedad de la amenaza.

Si su informe de vulnerabilidad cumple con los requisitos para una recompensa monetaria, su nombre aparecerá en la página de asesoramiento de seguridad de productos de Synology en nuestro sitio web oficial como un gesto de agradecimiento.

Este proceso tomará al menos 90 días. Tu recompensa será transferida a ti al completar el proceso.

Observaciones:Synology se reserva el derecho de cambiar o cancelar este programa, incluidas sus políticas, en cualquier momento sin previo aviso.

Sistemas operativos

Recompensa	Los informes calificados son elegibles para una recompensa de hasta US$30,000.*
Productos dentro del alcance	Solo se aceptan informes sobre versiones oficialmente lanzadas. DiskStation Manager (DSM) DSM 6 (última versión), DSM 7 (última versión) Paquetes instalados por defecto Administrador de enrutadores Synology (SRM) SRM 1.3 (última versión) Paquetes instalados por defecto Firmware de cámara Synology Firmware 1.3 (última versión) Synology BeeStation BeeStation OS 1.0 (última versión) Paquetes instalados por defecto
Regulaciones y restricciones	Este programa está estrictamente limitado a vulnerabilidades de seguridad encontradas en productos y servicios de Synology. Las acciones que podrían dañar potencialmente o afectar negativamente a los servidores o datos de Synology están estrictamente prohibidas. Las pruebas de vulnerabilidad no deben violar las leyes locales o taiwanesas. Los informes de vulnerabilidad no son aceptados bajo el programa si describen o involucran: Ataques de DoS (Denegación de Servicio) en servidores de Synology o de usuarios Pruebas de vulnerabilidad que son perjudiciales para los servidores o datos de Synology o de usuarios Ataques físicos o ingeniería social Divulgación de información sobre errores antes de la aprobación por parte de Synology Vulnerabilidades no críticas en servicios o productos obsoletos Vulnerabilidades que afectan solo a navegadores web obsoletos La mayoría de los tipos de ataques de fuerza bruta Ataques XSS reflejados o ataques XSS propios Vulnerabilidades que involucran phishing, creación de sitios web falsos o cometer fraude Informes de escaneo de vulnerabilidades que no detallan los efectos de la vulnerabilidad Indicaciones de que los puertos predeterminados son vulnerables, pero sin proporcionar un PoC Vulnerabilidades teóricas que carecen de un Concepto de Prueba (PoC) concreto Las redirecciones abiertas por sí solas generalmente se consideran informativas y no califican para recompensas a menos que contribuyan a una vulnerabilidad más significativa Falta de encabezados de seguridad que no conducen directamente a la explotación Falta de banderas de seguridad en cookies Enumeración de usuarios. Los informes que describen la enumeración de usuarios no están dentro del alcance a menos que pueda demostrar que no tenemos límites de tasa establecidos para proteger a nuestros usuarios.

Recompensa

Los informes calificados son elegibles para una recompensa de hasta US$30,000.*

Productos dentro del alcance

Solo se aceptan informes sobre versiones oficialmente lanzadas.

DiskStation Manager (DSM)

DSM 6 (última versión), DSM 7 (última versión)
Paquetes instalados por defecto

Administrador de enrutadores Synology (SRM)

SRM 1.3 (última versión)
Paquetes instalados por defecto

Firmware de cámara Synology

Firmware 1.3 (última versión)

Synology BeeStation

BeeStation OS 1.0 (última versión)
Paquetes instalados por defecto

Regulaciones y restricciones

Este programa está estrictamente limitado a vulnerabilidades de seguridad encontradas en productos y servicios de Synology. Las acciones que podrían dañar potencialmente o afectar negativamente a los servidores o datos de Synology están estrictamente prohibidas. Las pruebas de vulnerabilidad no deben violar las leyes locales o taiwanesas.

Los informes de vulnerabilidad no son aceptados bajo el programa si describen o involucran:

Ataques de DoS (Denegación de Servicio) en servidores de Synology o de usuarios
Pruebas de vulnerabilidad que son perjudiciales para los servidores o datos de Synology o de usuarios
Ataques físicos o ingeniería social
Divulgación de información sobre errores antes de la aprobación por parte de Synology
Vulnerabilidades no críticas en servicios o productos obsoletos
Vulnerabilidades que afectan solo a navegadores web obsoletos
La mayoría de los tipos de ataques de fuerza bruta
Ataques XSS reflejados o ataques XSS propios
Vulnerabilidades que involucran phishing, creación de sitios web falsos o cometer fraude
Informes de escaneo de vulnerabilidades que no detallan los efectos de la vulnerabilidad
Indicaciones de que los puertos predeterminados son vulnerables, pero sin proporcionar un PoC
Vulnerabilidades teóricas que carecen de un Concepto de Prueba (PoC) concreto
Las redirecciones abiertas por sí solas generalmente se consideran informativas y no califican para recompensas a menos que contribuyan a una vulnerabilidad más significativa
Falta de encabezados de seguridad que no conducen directamente a la explotación
Falta de banderas de seguridad en cookies
Enumeración de usuarios. Los informes que describen la enumeración de usuarios no están dentro del alcance a menos que pueda demostrar que no tenemos límites de tasa establecidos para proteger a nuestros usuarios.

*Consulta la página de detalles de la recompensa en la página web del programa de seguridad para más detalles.

Software y servicios en la nube C2

Recompensa	Los informes calificados son elegibles para una recompensa de hasta US$10,000.*
Productos dentro del alcance	Solo se aceptan informes sobre versiones oficialmente lanzadas. Paquetes Paquetes de software desarrollados por Synology Clientes de escritorio Aplicaciones de Synology desarrolladas para Windows, macOS y Linux Aplicaciones móviles Aplicaciones móviles desarrolladas por Synology para Android e iOS Cuenta de Synology .account.synology.com dominios .identity.synology.com dominios Servicios C2 *.c2.synology.com dominios
Regulaciones y restricciones	Este programa está estrictamente limitado a vulnerabilidades de seguridad encontradas en productos y servicios de Synology. Las acciones que podrían dañar potencialmente o afectar perjudicialmente a los servidores o datos de Synology están estrictamente prohibidas. Las pruebas de vulnerabilidad no deben violar las leyes locales o de Taiwán. Los informes de vulnerabilidad no son aceptados bajo el programa si describen o involucran: Ataques de DoS (Denegación de Servicio) en servidores de Synology o de usuarios Pruebas de vulnerabilidad que son perjudiciales para los servidores o datos de Synology o de usuarios Ataques físicos o ingeniería social Divulgación de información sobre errores antes de la aprobación por parte de Synology Vulnerabilidades no críticas en servicios o productos obsoletos Vulnerabilidades que afectan solo a navegadores web obsoletos La mayoría de los tipos de ataques de fuerza bruta Ataques XSS reflejados o ataques XSS propios Vulnerabilidades que involucran phishing, creación de sitios web falsos o cometer fraude Informes de escaneo de vulnerabilidades que no detallan los efectos de la vulnerabilidad Indicaciones de que los puertos predeterminados son vulnerables, pero sin proporcionar un PoC Vulnerabilidades teóricas que carecen de un Concepto de Prueba (PoC) concreto Las redirecciones abiertas por sí solas generalmente se consideran informativas y no califican para recompensas a menos que contribuyan a una vulnerabilidad más significativa Falta de encabezados de seguridad que no conducen directamente a la explotación Falta de banderas de seguridad en cookies Enumeración de usuarios. Los informes que describen la enumeración de usuarios no están dentro del alcance a menos que pueda demostrar que no tenemos límites de tasa establecidos para proteger a nuestros usuarios.

Recompensa

Los informes calificados son elegibles para una recompensa de hasta US$10,000.*

Productos dentro del alcance

Solo se aceptan informes sobre versiones oficialmente lanzadas.

Paquetes

Paquetes de software desarrollados por Synology

Clientes de escritorio

Aplicaciones de Synology desarrolladas para Windows, macOS y Linux

Aplicaciones móviles

Aplicaciones móviles desarrolladas por Synology para Android e iOS

Cuenta de Synology

*.account.synology.com dominios
*.identity.synology.com dominios

Servicios C2

*.c2.synology.com dominios

Regulaciones y restricciones

Este programa está estrictamente limitado a vulnerabilidades de seguridad encontradas en productos y servicios de Synology. Las acciones que podrían dañar potencialmente o afectar perjudicialmente a los servidores o datos de Synology están estrictamente prohibidas. Las pruebas de vulnerabilidad no deben violar las leyes locales o de Taiwán.

Los informes de vulnerabilidad no son aceptados bajo el programa si describen o involucran:

Ataques de DoS (Denegación de Servicio) en servidores de Synology o de usuarios
Pruebas de vulnerabilidad que son perjudiciales para los servidores o datos de Synology o de usuarios
Ataques físicos o ingeniería social
Divulgación de información sobre errores antes de la aprobación por parte de Synology
Vulnerabilidades no críticas en servicios o productos obsoletos
Vulnerabilidades que afectan solo a navegadores web obsoletos
La mayoría de los tipos de ataques de fuerza bruta
Ataques XSS reflejados o ataques XSS propios
Vulnerabilidades que involucran phishing, creación de sitios web falsos o cometer fraude
Informes de escaneo de vulnerabilidades que no detallan los efectos de la vulnerabilidad
Indicaciones de que los puertos predeterminados son vulnerables, pero sin proporcionar un PoC
Vulnerabilidades teóricas que carecen de un Concepto de Prueba (PoC) concreto
Las redirecciones abiertas por sí solas generalmente se consideran informativas y no califican para recompensas a menos que contribuyan a una vulnerabilidad más significativa
Falta de encabezados de seguridad que no conducen directamente a la explotación
Falta de banderas de seguridad en cookies
Enumeración de usuarios. Los informes que describen la enumeración de usuarios no están dentro del alcance a menos que pueda demostrar que no tenemos límites de tasa establecidos para proteger a nuestros usuarios.

*Consulte la página de Detalles de Recompensa en la página web del Programa de Errores de Seguridad para más detalles.

Web servicios

Recompensa	Los informes calificados son elegibles para una recompensa de hasta US$5,000.*
Productos dentro del alcance	Los siguientes dominios (incluidos los subdominios) están dentro del alcance: *.synology.com Los siguientes dominios (incluidos los subdominios) están fuera del alcance: openstack-ci-logs.synology.com, router.synology.com Synology se reserva el derecho de modificar esta lista en cualquier momento sin previo aviso.
Regulaciones y restricciones	Este programa está estrictamente limitado a vulnerabilidades de seguridad encontradas en productos y servicios de Synology. Las acciones que podrían dañar o afectar negativamente a los servidores o datos de Synology están estrictamente prohibidas. Las pruebas de vulnerabilidad no deben violar las leyes locales o de Taiwán. Los informes de vulnerabilidad no son aceptados bajo el programa si describen o involucran: Ataques de denegación de servicio (DoS) en los servidores de Synology o de los usuarios Pruebas de vulnerabilidad que son perjudiciales para los servidores o datos de Synology o de los usuarios Ataques físicos o ingeniería social Divulgación de información de errores antes de la aprobación por Synology Travesía de directorios en https://*archive.synology.com Descarga de archivos reflejada Problemas de captura de banners o divulgación de versión de software Vulnerabilidad de día cero divulgada dentro de los 90 días Vulnerabilidades no críticas en servicios o productos desactualizados Vulnerabilidades que afectan solo a navegadores web desactualizados La mayoría de los tipos de ataques de fuerza bruta Ataques XSS reflejados o ataques XSS propios Vulnerabilidades que involucran phishing, creación de sitios web falsos o cometer fraude Informes de escaneo de vulnerabilidades que no detallan los efectos de la vulnerabilidad Indicaciones de que los puertos predeterminados son vulnerables, pero sin proporcionar un PoC Vulnerabilidades teóricas que carecen de un concepto de prueba concreto (PoC) Las redirecciones abiertas por sí solas generalmente se consideran informativas y no califican para recompensas a menos que contribuyan a una vulnerabilidad más significativa Falta de encabezados de seguridad que no conducen directamente a la explotación Falta de banderas de seguridad en cookies Enumeración de usuarios. Los informes que describen la enumeración de usuarios no están dentro del alcance a menos que pueda demostrar que no tenemos límites de tasa establecidos para proteger a nuestros usuarios.

Recompensa

Los informes calificados son elegibles para una recompensa de hasta US$5,000.*

Productos dentro del alcance

Los siguientes dominios (incluidos los subdominios) están dentro del alcance:

*.synology.com

Los siguientes dominios (incluidos los subdominios) están fuera del alcance:

openstack-ci-logs.synology.com, router.synology.com

Synology se reserva el derecho de modificar esta lista en cualquier momento sin previo aviso.

Regulaciones y restricciones

Este programa está estrictamente limitado a vulnerabilidades de seguridad encontradas en productos y servicios de Synology. Las acciones que podrían dañar o afectar negativamente a los servidores o datos de Synology están estrictamente prohibidas. Las pruebas de vulnerabilidad no deben violar las leyes locales o de Taiwán.

Los informes de vulnerabilidad no son aceptados bajo el programa si describen o involucran:

Ataques de denegación de servicio (DoS) en los servidores de Synology o de los usuarios
Pruebas de vulnerabilidad que son perjudiciales para los servidores o datos de Synology o de los usuarios
Ataques físicos o ingeniería social
Divulgación de información de errores antes de la aprobación por Synology
Travesía de directorios en https://*archive.synology.com
Descarga de archivos reflejada
Problemas de captura de banners o divulgación de versión de software
Vulnerabilidad de día cero divulgada dentro de los 90 días
Vulnerabilidades no críticas en servicios o productos desactualizados
Vulnerabilidades que afectan solo a navegadores web desactualizados
La mayoría de los tipos de ataques de fuerza bruta
Ataques XSS reflejados o ataques XSS propios
Vulnerabilidades que involucran phishing, creación de sitios web falsos o cometer fraude
Informes de escaneo de vulnerabilidades que no detallan los efectos de la vulnerabilidad
Indicaciones de que los puertos predeterminados son vulnerables, pero sin proporcionar un PoC
Vulnerabilidades teóricas que carecen de un concepto de prueba concreto (PoC)
Las redirecciones abiertas por sí solas generalmente se consideran informativas y no califican para recompensas a menos que contribuyan a una vulnerabilidad más significativa
Falta de encabezados de seguridad que no conducen directamente a la explotación
Falta de banderas de seguridad en cookies
Enumeración de usuarios. Los informes que describen la enumeración de usuarios no están dentro del alcance a menos que pueda demostrar que no tenemos límites de tasa establecidos para proteger a nuestros usuarios.

*Consulte la página de Detalles de Recompensa en la página web del Programa de Errores de Seguridad para más detalles.

Detalles de la recompensa

Esta página está diseñada para ayudar a los investigadores a entender las recompensas máximas potenciales para tipos específicos de vulnerabilidades y para destacar los tipos de vulnerabilidades que más valora Synology. Valoramos tus contribuciones y estamos dedicados a recompensar de manera justa investigaciones de seguridad significativas.

Las recompensas en la tabla muestran el máximo posible para cada categoría, pero no todos los informes que califiquen están garantizados a recibir el monto listado.*

Crítico
	Sistemas operativos	Servicios de software y nube C2	Web servicios
Zero-click pre-auth RCE	$30,000	$10,000	$5,000
Zero-click pre-auth arbitrary file r/w	$9,000	$4,600	$2,400

Importante
	Sistemas operativos	Servicios de software y nube C2	Web servicios
1-click pre-auth RCE	$8,000	$4,000	$2,000
Zero-click normal-user-auth RCE	$7,500	$3,900	$1,900
Zero-click normal-user-auth arbitrary file r/w	$6,500	$3,400	$1,700
Zero-click pre-auth RCE (AC:H)	$6,500	$3,400	$1,700
1-click pre-auth RCE (AC:H)	$5,000	$2,500	$1,325
pre-auth SQL injection	$3,800	$1,950	$1,025
1-click normal-user-auth RCE (AC:H)	$2,600	$1,350	$725
pre-auth stored XSS	$2,600	$1,350	$725

Moderado
	Sistemas operativos	Servicios de software y nube C2	Web servicios
Zero-click admin-auth RCE	$2,000	$1,000	$500
Zero-click admin-auth arbitrary file r/w	$1,500	$860	$480
normal-user-auth stored XSS	$1,350	$733	$417
normal-user-auth SQL injection	$1,200	$607	$353
admin-auth stored XSS	$600	$353	$227

Las vulnerabilidades sin autenticación previa también son aceptadas, pero las recompensas son significativamente menores.

Observaciones:

Tenga en cuenta que, aunque se proporcionan directrices para las recompensas, cada informe se trata de manera individual y se evalúa minuciosamente. La puntuación considera varios factores, incluyendo pero no limitado al alcance detallado en la rúbrica de recompensas. Synology se reserva el derecho a la interpretación final de los montos de las recompensas.
For issues classified as low severity or suggestions, only acknowledgements will be provided.

Preguntas más frecuentes

¿Cómo debo reportar una vulnerabilidad?Proporcione una PoC (prueba de concepto) detallada y asegúrese de que los problemas notificados se pueden reproducir. Utilice este cifrado de clave PGP que ofrece Synology cuando nos envíe informes de errores y no revele la información relevante a terceros.¿Quién es responsable de determinar si mi informe de errores es elegible para una recompensa?Todos los informes de errores son revisados y evaluados por el Equipo de Seguridad de Synology, que está compuesto por analistas de seguridad senior de Synology.¿Cuál es la consecuencia si un error se divulga públicamente antes de ser corregido?Nos esforzamos en responder a los informes de errores de manera pronta y en corregirlos en un plazo razonable. Por favor notifíquenos con antelación antes de divulgar públicamente la información del error. Cualquier divulgación de errores sin seguir este principio no será calificada para una recompensa.¿Las vulnerabilidades encontradas en software obsoleto como Apache o Nginx califican para una recompensa?Por favor identifique las vulnerabilidades en el software y explique por qué sospecha que son perjudiciales para el uso del software. Los informes que omiten este tipo de información generalmente no califican para una recompensa.¿Puedo solicitar que mi nombre no aparezca en la página de Aviso de Seguridad de Synology?Sí. Puede solicitar no aparecer en nuestra página de Aviso de Seguridad. Sin embargo, si califica para una recompensa y desea aceptarla, aún necesitaremos su información de contacto para procesar el pago.¿Las vulnerabilidades siguen siendo elegibles para una recompensa si se informan a los corredores de vulnerabilidades?Divulgar privadamente una vulnerabilidad a terceros con fines distintos a la corrección de errores es contrario al espíritu de nuestro programa. Por lo tanto, tales informes no calificarán para una recompensa.¿Quién califica para una recompensa si el mismo error es reportado por más de una persona?La recompensa se otorga a la primera persona que descubre una vulnerabilidad que previamente era desconocida para nosotros.

Reconocimiento

Queremos dar un reconocimiento a los investigadores y organizaciones de seguridad que nos han ayudado.

2024
2023
2022
2021
2020
2019
2018
2017

Khoadha from VCSLab of Viettel Cyber Security ( https://viettelcybersecurity.com/)
Tim Coen (https://security-consulting.icu/)
Mykola Grymalyuk from RIPEDA Consulting
Zhao Runzi (赵润梓)
Andrea Maugeri (https://www.linkedin.com/in/andreamaugeri)
Offensive Security Research @ Ronin (https://ronin.ae/)
Nathan (Yama) https://DontClickThis.run

Endure Secure (https://endsec.au)
Stephen Argent (https://www.runby.coffee/)
Qian Chen (@cq674350529) from Codesafe Team of Legendsec at QI-ANXIN Group
Jan Kopřiva of Nettles Consulting (https://www.nettles.cz/security/)
Andrej Zaujec (https://www.linkedin.com/in/andrej-zaujec-24ba07158/)
chumen77 from WeBin Lab of DbappSecurity Co.,Ltd.
Bruce Chen (https://twitter.com/bruce30262)
aoxsin (https://twitter.com/aoxsin)
Armanul Miraz
Jaehoon Jang, STEALIEN (https://stealien.com)
Jangwoo Choi, HYEONJUN LEE, SoYeon Kim, TaeWan Ha, DoHwan Kim (https://zrr.kr/SWND)
Jaehoon Jang, Wonbeen Im, STEALIEN (https://stealien.com)
Tomer Goldschmidt and Sharon Brizinov of Claroty Research - Team82
Vo Van Thong of GE Security (VNG) (https://www.linkedin.com/in/thongvv3/)
Hussain Adnan Hashim (https://www.linkedin.com/in/hussain0x3c)
TEAM.ENVY (https://team-envy.gitbook.io/team.envy/about-us)
Tim Coen (https://security-consulting.icu)
TEAM TGLS (Best of the Best 12th) (https://zrr.kr/SWND)
Zhao Runzi (赵润梓)

Kevin Wang (https://twitter.com/kevingwn_ )
Shubham Kushwaha/ meenakshi Maurya (https://github.com/anabelle666)
Safwat Refaat (@Caesar302)
Jeffrey Baker (www.Biznet.net)
Monisha N (https://www.linkedin.com/in/monisha-nagaraj-321524218/)
Ravi (https://twitter.com/itsrvsinghh)
remonsec (https://twitter.com/remonsec)
TheLabda (https://thelabda.com)
Grant Kellie (https://www.linkedin.com/in/grant-kellie-54a23b238/)
pulla karthik srivastav (https://www.linkedin.com/in/karthik-srivastav-680359192)
Muhammad Tanvir Ahmed https://www.facebook.com/tohidulislam.tanvir.948
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Laurent Sibilla (https://www.linkedin.com/in/lsibilla/)
Thomas Werschlein (https://www.linkedin.com/in/thomas-werschlein-2293384b)
Sivanesh kumar (https://twitter.com/sivanesh_hacker)
Davis Chang. (https://www.linkedin.com/in/hong-tsun-davis-chang/)
@aoxsin (https://twitter.com/aoxsin)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Hasibul Hasan Shawon (@Saiyan0x01)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Zain Iqbal (https://www.linkedin.com/in/zain-iqbal-971b76254/)
Lukas Kupczyk, CrowdStrike Intelligence
Tomasz Szczechura (https://www.linkedin.com/in/tomasz-szczechura-5189098b/)
Zhao Runzi (赵润梓)

Qian Chen (@cq674350529) from Codesafe Team of Legendsec at Qi'anxin Group
Patrik Fabian (https://websafe.hu)
Eugene Lim, Government Technology Agency of Singapore (https://spaceraccoon.dev)
Jeenika Anadani (https://twitter.com/j33n1k4)
waterpeitw (https://zeroday.hitcon.org/user/waterpeitw)
Milan katwal (https://www.milankatwal.com.np/)
N S R de Rooy (https://www.linkedin.com/in/norbert-de-rooy-9b24527/)
Christian Tucci (https://www.linkedin.com/in/christian-tucci/)
Ravindra Dagale (https://www.linkedin.com/in/ravindra-dagale-5b0913151/)
Sanket Anil Ambalkar (https://www.linkedin.com/in/sanket-ambalkar-70211518b/)
Chirag Agrawal (https://www.linkedin.com/in/chirag-agrawal-770488144/)
Yimi Hu@baidu.com
Raman R Mohurle (https://twitter.com/Raman_Mohurle)
cmj (http://blog.cmj.tw/)
Parth Manek
Patrick Williams (https://www.linkedin.com/in/patrick-williams-6992b4104/)
Amaranath Moger (https://www.linkedin.com/in/amaranath-moger/)
Dennis Herrmann (Code White GmbH)
Siddharth Parashar (https://www.linkedin.com/in/siddharth-parashar-b2a21b1b5/)
Sahil Soni (https://twitter.com/sahil__soni_18?s=08)
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]
Devender Rao (https://www.linkedin.com/in/devender-rao)
RAJIB BAR (https://www.linkedin.com/in/rajib-bar-rjb-b3683314b)
Atharv Shejwal (https://kongsec.io)
Xavier DANEST (https://sustainability.decathlon.com/)
Aditya Shende (http://kongsec.io)
Andreas Rothenbacher (https://error401.de)
Rachit Verma @b43kd00r (https://www.linkedin.com/in/b43kd00r/)
Suraj SK (https://www.linkedin.com/in/suraj-sk/)
Simon Effenberg (https://www.linkedin.com/in/simon-effenberg)
Niraj Mahajan (https://www.linkedin.com/in/niraj1mahajan)
Ayush Pandey (https://www.linkedin.com/in/ayush-pandey-148797175)
Sivanesh kumar D (https://twitter.com/sivanesh_hacker?s=09)
Touhid Shaikh (https://securityium.com/)
N Krishna Chaitanya (https://www.linkedin.com/in/n-krishna-chaitanya-27926aba/)
Ayush Mangal (https://www.linkedin.com/in/ayush-mangal-48a168110)
Tameem Khalid (https://www.linkedin.com/in/tameem-khalid-641a4b192/)
ddaa of TrapaSecurity (https://twitter.com/0xddaa)
Praveen Kumar
Oscar Spierings (https://polyform.dev)
Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
swings of Chaitin Security Research Lab
Hasibul Hasan Rifat (https://twitter.com/rifatsec)
Lanni
Yeshwanth (https://www.linkedin.com/in/yeshwanth-b-4a560b202)
Darshan Sunil jogi (https://www.linkedin.com/in/darshan-jogi-9450431b6/)

Chanyoung So (https://www.linkedin.com/in/chanyoung-so-62551b115/)
Lanni
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Vladislav Akimenko (Digital Security) (https://dsec.ru)
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Claudio Bozzato of Cisco Talos (https://talosintelligence.com/vulnerability_reports/)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
Aditya Soni (https://www.linkedin.com/in/adtyasoni)
Mansoor Amjad (https://twitter.com/TheOutcastCoder)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
James Smith (Bridewell Consulting) (https://bridewellconsulting.com)
Kinshuk Kumar (https://www.linkedin.com/in/kinshuk-kumar-4833551a1/)
Amit Kumar (https://www.linkedin.com/in/amit-kumar-9853731a4)
Mehedi Hasan Remon (twitter.com/remonsec)
Joshua Olson (www.linkedin.com/in/joshua-olson-cysa)
Vaibhav Rajeshwar Atkale(https://twitter.com/atkale_vaibhav)
Mohammed Eldawody (www.fb.com/eldawody0)
YoKo Kho (https://twitter.com/YoKoAcc)
Satyajit Das (https://www.linkedin.com/in/mrsatyajitdas)
Tinu Tomy (https://twitter.com/tinurock007)
Aniket Bhutani (https://www.linkedin.com/in/aniket-bhutani-6ba979192/)
Anurag Muley (https://www.linkedin.com/in/ianuragmuley/)
Howard Ching (https://www.linkedin.com/in/howard-ching-rhul/)
Janmejaya Swain (https://www.linkedin.com/in/janmejayaswainofficial)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Agrah Jain (www.linkedin.com/in/agrahjain)
Shivam Kamboj Dattana (https://www.linkedin.com/in/sechunt3r/)
Pratik Vinod Yadav (https://twitter.com/PratikY9967)
Akshaykumar Kokitkar (https://mobile.twitter.com/cyber_agent2)
Shesha Sai C (https://www.linkedin.com/in/shesha-sai-c-18585b125)
Yash Agarwal (https://www.linkedin.com/in/yash-agarwal-17464715b)
Jan KOPEC(https://twitter.com/blogresponder)
Denis Burtanović
Hasibul Hasan Shawon -[Sec Miner's Bangladesh]

R Atik Islam (https://www.facebook.com/atik.islam.14661)
Jose Israel Nadal Vidal (https://twitter.com/perito_inf)
Thomas Grünert (https://de.linkedin.com/in/thomas-gr%C3%BCnert-250905168)
Matteo Bussani (https://www.linkedin.com/in/matteo-bussani-77b595198/)
Bing-Jhong Jheng (https://github.com/st424204/ctf_practice)
Swapnil Patil (https://www.linkedin.com/in/swapnil-patil-874223195)
Prakash Kumar Parthasarathy (https://www.linkedin.com/in/prakashofficial)
Kitab Ahmed (www.ahmed.science)
Ahmad Firmansyah (https://twitter.com/AhmdddFsyaaah)
Tiziano Di Vincenzo (https://www.linkedin.com/in/tiziano-d-3324a345/)
Pratik Vinod Yadav (https://www.linkedin.com/in/pratik-yadav-117463149)
Diwakar Kumar (https://www.linkedin.com/in/diwakar-kumar-5b3843114/)
Rushi Gayakwad
Yash Ahmed Quashim (https://www.facebook.com/abir.beingviper)
Swapnil Kothawade (https://twitter.com/Swapnil_Kotha?s=09)
Ankit Kumar (https://www.linkedin.com/in/ankit-kumar-42a644166/)
Aman Rai (https://www.linkedin.com/in/aman-rai-737a19146)
Rushikesh Gaikwad (https://www.linkedin.com/in/rushikesh-gaikwad-407163171)
Rupesh Tanaji Kokare (https://www.linkedin.com/in/rupesh-kokare-b63a78145/)
Sumit Jain (https://twitter.com/sumit_cfe)
Qian Chen of Qihoo 360 Nirvan Team
Vishal Vachheta (https://www.linkedin.com/in/vishal-vachheta-a30863122)
Zhong Zhaochen
Tomasz Grabowski
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Safwat Refaat (https://twitter.com/Caesar302)
Agent22 (https://securelayer7.net/)
Hsiao-Yung Chen
Rich Mirch (https://blog.mirch.io)
Ronak Nahar (https://www.linkedin.com/in/naharronak/)
Noman Shaikh (https://twitter.com/nomanAli181)
David Deller (https://horizon-nigh.org)
Mehedi Hasan (SecMiners BD) (https://www.facebook.com/polapan.1337)
Touhid M Shaikh (https://touhidshaikh.com)
Abhishek Gaikwad
Kitabuddin Ahmed
Noman Shaikh (https://twitter.com/nomanAli181)
Ajit Sharma (https://www.linkedin.com/in/ajit-sharma-90483655)
Agung Saputra Ch Lages (https://twitter.com/lagesgeges)
Dan Thomsen (www.thomsen.fo)
Erik de Jong (https://eriknl.github.io)
Sphinx 1,2 (https://www.facebook.com/Sphinx01.10/)
AHMED ELSADAT (https://www.linkedin.com/in/ahmed-elsadat-138755133/)
Hasibul Hasan (SecMiner)
Mohammed Eldawody (www.fb.com/eldawody0)
Chris Schneider
Abdullah Fares Muhanna (https://www.facebook.com/AbedullahFares)
Nick Blyumberg (https://www.linkedin.com/in/nickblyumberg/)
Axel Peters
Muhammad Junaid Abdullah (https://twitter.com/an0n_j)
Kyle Green
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Dankel Ahmed (https://hackerone.com/kitab)
ShuangYY
HackTrack Security
Muhammed Ashmil K K (Kavuthukandiyil)

Muhammad Junaid Abdullah (https://twitter.com/snoviboy)
Kishan kumar (https://facebook.com/noobieboy007)
Lays (http://l4ys.tw)
Ashish Kumar (https://www.facebook.com/buggyashish)
Lakshay Gupta (http://linkedin.com/in/lakshay-gupta-44102a143)
Meng-Huan Yu (https://www.linkedin.com/in/cebrusfs/)
Ifrah Iman (http://www.ifrahiman.com)
Mohammed Israil (https://www.facebook.com/VillageLad, https://www.linkedin.com/in/mohammed-israil-221656128)
Taien Wang (https://www.linkedin.com/in/taienwang/)
Emad Shanab (@Alra3ees) (https://twitter.com/Alra3ees?s=09)
குகன் ராஜா (Havoc Guhan) (https://fb.com/havocgwen)
Yasser Gersy (https://twitter.com/yassergersy)
Ismail Tasdelen (https://www.linkedin.com/in/ismailtasdelen)
Thomas Fady (https://www.linkedin.com/in/thomas-fady)
Oliver Kramer (https://www.linkedin.com/in/oliver-kramer-670206b5)
1N3@CrowdShield (https://crowdshield.com)
louys, Xie Wei (解炜), Li Yanlong (李衍龙)
Zuo Chaoshun (https://www.linkedin.com/in/chaoshun-zuo-5b9559111/)
Ali Razzaq (https://twitter.com/AliRazzaq_)
丁諭祺(Yu-Chi Ding) from DEVCORE CHROOT
Alex Weber (www.broot.ca)
Alex Bastrakov (https://twitter.com/kazan71p)
Mehidia Tania (https://www.beetles.io)
freetsubasa (https://twitter.com/freetsubasa)
Łukasz Rutkowski (http://www.forit.pl/)
Maximilian Tews (www.linkedin.com/in/maximilian-tews)
Bryan Galao (https://www.facebook.com/xbryan.galao)
Jim Zhou (vip-cloud.cn)
Chun Han Hsiao
Nightwatch Cybersecurity Research (https://wwws.nightwatchcybersecurity.com)
Olivier Bédard
Mohamed Eldawody (https://www.facebook.com/Eldawody0)
Jose Hares (https://es.linkedin.com/in/jose-hares-arrieta-b419233b)
郑吉宏通过 GeekPwn 平台提交
Independent Security Evaluators (ISE) labs
Independent security researcher, MengHuan Yu, has reported this vulnerability to Beyond Security’s SecuriTeam Secure Disclosure program
B.Dhiyaneshwaran (https://www.linkedin.com/in/dhiyaneshwaran-b-27947a131/)
Freiwillige Feuerwehr Rohrbach (www.ff-rohrbach.de)
Uriya Yavnieli from VDOO (https://vdoo.com)
Jung Chan Hyeok
Zhong Zhaochen (http://asnine.com)

Honc 章哲瑜 (https://www.facebook.com/you.toshoot)
Sumit Jain
Ketankumar B. Godhani (https://twitter.com/KBGodhani)
karthickumar (Ramanathapuram)
Alireza Azimzadeh Milani
Taien Wang (https://www.facebook.com/taien.tw)
Frédéric Crozat (http://blog.crozat.net/)
Muhammad Hassaan Khan (https://www.facebook.com/Profile.Hassaan)
SSD/Kacper Szurek
Alexander Drabek (https://www.2-sec.com/)
RAVELA PRAMOD KUMAR (https://mobile.twitter.com/PramodRavela)
Kushal Arvind Shah of Fortinet’s FortiGuard Labs
Alvin Poon (https://alvinpoon.myportfolio.com/)
C.shahidyan, C.Akilan, K.Sai Aswanth
BambooFox (https://bamboofox.github.io/)
Sajibe Kanti (https://twitter.com/sajibekantibd)
Huy Kha (linkedin.com/in/huykha)
Pal Patel (https://www.linkedin.com/in/pal434/)
Pethuraj M (https://www.linkedin.com/in/pethu/)
Ali Ashber (https://www.facebook.com/aliashber7)
Muzammil Abbas Kayani (@muzammilabbas2 )
Tayyab Qadir (facebook.com/tqMr.EditOr)
Babar Khan Akhunzada (www.SecurityWall.co)
Mahad Ahmed (https://octadev.com.pk)
JD Duh (blog.johndoe.tw, www.linkedin.com/in/JD-Duh)
Mubassir Kamdar (http://www.mubassirkamdar.com)
Daniel Díez Tainta (https://twitter.com/danilabs)
Tushar Rawool (twitter.com/tkrawool)
Thrivikram Gujarathi (https://www.linkedin.com/in/thrivikram-gujarathi-certified-ethical-hacker-bug-bounty-hunter-53074796)
Ashish Kunwar (twitter: @D0rkerDevil)
Steven Hampton (Twitter: @Keritzy, https://stevenh.neocities.org/)
Peter Bennink (https://www.linkedin.com/in/peter-bennink/)
Thomas Fady (https://www.linkedin.com/in/thomas-fady/)
Roopak Voleti (https://m.facebook.com/sairoopak.voleti)