Politika prijavljivanja ranjivosti

Verzija 1.1 · Datum stupanja na snagu: 14. oktobar 2026 · Poslednje ažuriranje: 11. oktobar 2026

Prevod je obezbeđen radi informisanja i praktičnosti. Samo engleska verzija ovog dokumenta ima pravnu snagu; u slučaju neslaganja, nejasnoće ili protivrečnosti, merodavan je engleski tekst.

Pozdravljamo prijave istraživača bezbednosti. Ako smatrate da ste pronašli ranjivost u LiKE, molimo Vas da nas obavestite.

Kako prijaviti

Pošaljite e-poruku na [email protected], jednu poruku po problemu, na engleskom ili ruskom jeziku, sa sledećim:

opisom problema i njegovih posledica;
koracima za reprodukciju (kratak video ili snimci ekrana su od pomoći);
pogođenim URL-om ili endpoint-om;
Vašim imenom ili nadimkom, ukoliko želite da budete navedeni na ovoj stranici.

Molimo Vas da u prijavu ne uključujete lične podatke drugih osoba.

Razmatramo sve prijave koje primimo. Možemo Vas kontaktirati ako nam budu potrebne dodatne informacije.

Šta nam je najvažnije

pristup podacima u radnom prostoru ili organizaciji drugog klijenta;
zaobilaženje autentifikacije ili preuzimanje naloga drugog korisnika;
propusti u autorizaciji u našem API;
navođenje naših AI funkcija da otkriju podatke iz radnog prostora kojem nemate pristup.

Obuhvat

Obuhvaćeno: lynkora.pro i njegovi poddomeni kojima upravlja Lynkora, uključujući radne prostore klijenata (*.lynkora.pro), kao i naš API.

Nije obuhvaćeno: usluge trećih lica koje koristimo (na primer, pružaoci usluga stranice za plaćanje i dostave e-pošte), kao i bilo koji sistem kojim ne upravlja Lynkora.

Pravila

Testirajte isključivo pomoću naloga i radnih prostora koji su Vaše vlasništvo. Za potrebe testiranja registrujte sopstveni nalog na lynkora.pro.
Kako biste nam pomogli da Vaše testiranje razlikujemo od stvarne aktivnosti, molimo Vas da se registrujete sa oznakom +security u svojoj adresi e-pošte ako Vaš provajder to podržava (na primer, [email protected] — poruke i dalje stižu u Vaše uobičajeno sanduče) i da u naziv radnog prostora uključite reč "test". Molimo Vas da obrišete test naloge kada završite.
Nemojte pristupati podacima koji pripadaju drugima, menjati ih ili brisati. Ako slučajno dođete do tuđih podataka, prekinite, ne zadržavajte kopiju i obavestite nas.
Nemojte pogađati lozinke metodom grube sile (brute force), koristiti procurele pristupne podatke niti kreirati više od nekoliko naloga.
Prilikom testiranja ograničenja broja zahteva (rate limits) pošaljite najviše 10 zahteva. To je dovoljno da se problem pokaže.
Nemojte izvoditi napade uskraćivanjem usluge (DoS) ili testove opterećenja, automatizovana skeniranja velikog obima, socijalni inženjering, phishing ili fizičke napade.
Nemojte vršiti stvarna ili lažna plaćanja.
Nemojte javno objavljivati problem dok ne objavimo ispravku (period neobjavljivanja od 90 dana).

Šta ne prihvatamo

Ne prihvatamo prijave o:

problemima koji su nam već poznati ili su ranije prijavljeni;
teorijskim problemima bez dokaza koncepta (proof of concept);
rezultatima automatskih skenera bez dokazanih posledica;
nedostajućim bezbednosnim zaglavljima ili cookie oznakama bez funkcionalnog napada;
clickjacking-u na stranicama bez osetljivih radnji;
konfiguraciji SPF, DKIM ili DMARC;
uskraćivanju usluge, testiranju opterećenja ili ograničenjima broja zahteva na endpoint-ima koji nisu vezani za autentifikaciju;
socijalnom inženjeringu ili fizičkim napadima;
enumeraciji naloga ili adresa e-pošte;
politici lozinki (dužina ili složenost);
otkrivanju verzija softvera, prikupljanju banera (banner grabbing) ili detaljnim stranicama grešaka bez osetljivih podataka;
problemima koji zahtevaju kompromitovan uređaj, poziciju „čoveka u sredini” (man-in-the-middle) ili malo verovatnu interakciju korisnika;
self-XSS, CSRF pri odjavi (logout CSRF) ili CSRF na obrascima bez osetljivih radnji;
načinima da se prekorače ograničenja plana (na primer, ograničenja AI tokena ili broja korisničkih mesta) bez pristupa podacima drugih klijenata;
ponašanju AI modela, kao što su zaobilaženje ograničenja (jailbreak), ubacivanje instrukcija u upit (prompt injection) ili netačni odgovori, osim ako time nisu otkriveni podaci iz radnog prostora kojem nemate pristup.

Nagrade

Ne vodimo plaćeni program nagrađivanja za pronađene ranjivosti (bug bounty) i ne plaćamo za prijave. Uz Vašu saglasnost, možemo navesti Vaše ime na ovoj stranici za valjane nalaze u okviru obuhvata, nakon što budu otklonjeni.

Dobra vera

Istraživanje sprovedeno u dobroj veri i u skladu sa ovim pravilima smatramo ovlašćenim.

Zahvalnice

Zahvaljujemo sledećim istraživačima na odgovornom prijavljivanju problema:

(još nema)

---

Ovu politiku možemo povremeno ažurirati.