برنامج الإبلاغ عن الثغرات

• mahara.sy وأي subdomain تشغّله مهارة.
• كل واجهات الـ Authentication والـ Authorization.
• تدفّق المدفوعات، الـ escrow، وزر تأكيد الاستلام.
• مطابقة الذكاء الاصطناعي + الـ safety gate.
• رفع الملفات (avatars، gig covers، وثائق الهوية).
• صفحات الإدارة (لوحة الإدمن).
• الـ APIs العامة + Server Actions.

• هجمات DoS / DDoS (لا تختبرها — توقّفنا عن العمل بدل أن نكافأها).
• هندسة اجتماعية على موظّفي مهارة أو مستخدميها.
• الفحص الآلي المكثّف (rate-limit النّا 1 req/sec كحد أقصى).
• ثغرات بمنصّات أو خدمات طرف ثالث (Resend، OpenRouter، Docker...).
• متصفّحات أو أنظمة تشغيل قديمة غير مدعومة.
• اعتمادات (credentials) مسرّبة بمكان آخر.
• ثغرات نظرية بدون PoC قابل لإعادة الإنتاج.
• تقارير عن غياب headers أمنية أو CSP fine-tuning (نعرفها، مدرجة بـ backlog الداخلي).
• Rate-limit يعمل بدقة (لو لقيت bypass فعلي، هذا داخل النطاق).
• Self-XSS أو XSS يتطلّب وصولاً فعلياً لجهاز الضحية.
• بيانات mock / seed (الإيميلات mock+*@mahara.local).

المبلغ النهائي يعتمد على شدّة التأثير وجودة التقرير. القرار لفريق الأمان في مهارة. تُدفع بـ USDT أو تحويل بنكي بعد التحقّق والإصلاح.

• وصف موجز للثغرة ونوعها (CWE category إن أمكن).
• خطوات إعادة الإنتاج دقيقة وقابلة للتنفيذ من صفر.
• الأثر المحتمل (ماذا يستفيد المهاجم؟ بيانات تتسرّب؟ صلاحيات تُتجاوز؟).
• PoC: سكربت، curl command، screenshot، أو فيديو قصير.
• اقتراح إصلاح (اختياري لكن مرحَّب به).
• معرّفك المفضّل للإفصاح العام بعد الإصلاح (اسم، Twitter، GitHub، أو مجهول).

• 72 ساعة: إقرار باستلام تقريرك + التقييم الأولي.
• 7 أيام: تأكيد ما إذا كان داخل النطاق + درجة الشدّة المبدئية.
• 30 يوم: إصلاح (وقت أطول للحرجة المعقّدة، نُحدّثك).
• بعد الإصلاح: دفع المكافأة + نشر علني (مع اعتمادك إن وافقت) + إدراجك بـ Hall of Fame.

ما دمت تلتزم بهذه الشروط، لن نتّخذ أي إجراء قانوني ضدّك ولن نُبلّغ عنك. هذا الالتزام يشمل:

• عدم الوصول إلى بيانات مستخدمين حقيقيين بأكثر مما يلزم لإثبات الثغرة.
• عدم تعديل أو حذف أي بيانات.
• عدم إفصاح علني عن الثغرة قبل إصلاحها.
• عدم استخدام الثغرة لأي غرض غير الإبلاغ.
• الالتزام بمعدّل لا يتجاوز طلب واحد في الثانية.
• عدم اختبار أنواع الهجمات خارج النطاق (DoS، هندسة اجتماعية).

الباحثون الذين ساهموا في تأمين مهارة (مع موافقتهم على الإفصاح):