> For the complete documentation index, see [llms.txt](https://yubit.gitbook.io/yubit/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://yubit.gitbook.io/yubit/fr/autre-aide/programme-de-chasse-aux-bogues-yubit.md). # Programme de chasse aux bogues YUBIT Nous sommes ravis d’annoncer le lancement du **Programme de chasse aux bogues YUBIT** et encourageons vivement les chercheurs en sécurité et les membres de la communauté à participer en signalant les vulnérabilités. 📩 Veuillez envoyer les rapports de bogues à : ****\ Notre équipe de sécurité examinera et validera rapidement les soumissions et vous contactera après confirmation.\ Vos contributions à la sécurité sont très appréciées ! *** ### 1. Prime aux bogues Web **Périmètre des tests :** * [www.yubit.com](https://www.yubit.com) **Fourchette de récompense :** * Risque faible : **50 $ – 100 $** * Risque moyen : **100 $ – 500 $** * Risque élevé : **500 $ – 1 000 $** * Critique : **1 000 $ – 5 000 $** *** ### 2. Définitions de la gravité des vulnérabilités Web #### (1) Vulnérabilités critiques Elles affectent les systèmes métier essentiels (systèmes de contrôle, contrôleurs de domaine, systèmes de distribution, bastions, etc.) et peuvent causer de graves dommages.\ **Résultats possibles :** * Prise de contrôle non autorisée des systèmes métier * Accès aux droits d’administration des systèmes centraux * Contrôle total de l’infrastructure centrale\ **Exemples :** * Contrôle de plusieurs appareils du réseau interne * Accès aux privilèges super administrateur du backend, entraînant d’importantes fuites de données * Exploits de dépassement de contrat intelligent ou de condition de concurrence #### (2) Vulnérabilités à risque élevé * Escalade de privilèges (GetShell, exécution de commandes) * Injection SQL * Contournement de l’authentification, mots de passe faibles, SSRF, exposition de données sensibles * Lecture arbitraire de fichiers / XXE * Transactions non autorisées ou contournement de la logique de paiement * Défauts logiques graves (par ex. se connecter en tant que n’importe quel utilisateur, réinitialisations massives de mots de passe) * XSS stocké (impact étendu) * Fuite de code स्रोत importante * Mauvaises configurations de privilèges des contrats intelligents #### (3) Vulnérabilités à risque moyen * Problèmes nécessitant une interaction de l’utilisateur (par ex. XSS stocké, CSRF) * Contournement d’autorisation horizontale/parallèle * Déni de service (DoS) * Failles de CAPTCHA menant à des attaques par force brute * Fuite locale de clés sensibles #### (4) Vulnérabilités à risque faible * DoS local (crash du client) * Divulgation mineure d’informations (traversée de répertoires, listing de répertoires) * XSS réfléchi/DOM * CSRF basique * Problèmes de redirection d’URL * Spam par SMS/e-mail (limité par système) * Autres problèmes à faible impact ou non prouvés *** ### 3. Vulnérabilités non acceptées * Usurpation d’e-mail * Énumération des utilisateurs * Self-XSS / injection HTML * CSP / SRI manquants * CSRF non sensible * Problèmes de configuration Android (par ex. `android:allowBackup="true"`) * Problèmes de performance uniquement (par ex. rendu d’images lent) * Divulgation de la version d’un composant tiers (par ex. version de Nginx) * Bugs fonctionnels sans impact sur la sécurité * Ingénierie sociale contre les employés de YUBIT *** ### 4. Définitions des vulnérabilités des contrats intelligents #### (1) Critique * Manipulation du vote de gouvernance * Vol direct des fonds des utilisateurs (à l’exclusion des récompenses non réclamées) * Blocage permanent des fonds * Exploitation de la valeur extractible par les mineurs (MEV) * Insolvabilité du protocole #### (2) Risque élevé * Vol ou blocage des récompenses/redevances non réclamées * Blocage temporaire des fonds #### (3) Risque moyen * Arrêt du contrat en raison de l’épuisement des jetons * Exploitation de la congestion du réseau à des fins lucratives * Vol de gaz ou consommation forcée excessive de gaz * Sabotage perturbateur, non lucratif #### (4) Risque faible * Pas de perte directe de fonds, mais atteinte à la confiance/aux engagements * Risques informatifs (erreurs d’oracle, attaques sur la gouvernance, risques de liquidité, attaques Sybil, etc.) * Recommandations de bonnes pratiques *** ### 5. Activités interdites * Ingénierie sociale ou attaques de phishing * Divulgation publique ou diffusion des détails de la vulnérabilité * Tests destructifs (seule la preuve de concept est autorisée) * Analyse massive non autorisée * Modification de page web, inondation de fenêtres contextuelles, vol de cookies ou charges utiles intrusives * Tout dommage non signalé pendant les tests ⚠️ Le non-respect des règles peut entraîner **des conséquences juridiques**. *** ### 6. Mot de la fin Merci de contribuer à la sécurité de la plateforme YUBIT.\ Ensemble, nous pouvons construire un **écosystème crypto plus sûr et plus transparent**.