Verantwoorde openbaarmaking

1. Beveiligingscontact

Als u een beveiligingskwetsbaarheid in MedCite ontdekt, meld deze dan aan security@medcite.eu. Wij bevestigen de ontvangst binnen 5 werkdagen en werken eraan om het probleem snel op te lossen.

2. Wat u moet vermelden

• Een duidelijke beschrijving van de kwetsbaarheid
• Stappen om het probleem te reproduceren
• Betreffende versie of component
• Uw contactgegevens (optioneel voor anonieme meldingen)

3. Kwetsbaarheden binnen de scope

• Cross-site scripting (XSS)
• Cross-site request forgery (CSRF)
• Server-side request forgery (SSRF)
• SQL- of command-injectie
• Omzeiling van authenticatie of autorisatie
• Blootstelling van gevoelige gegevens
• Remote code execution

4. Buiten scope

• Social engineering van gebruikers of medewerkers
• Fysieke aanvallen op infrastructuur
• Denial-of-service-aanvallen
• Problemen in websites of diensten van derden die gelinkt zijn vanaf MedCite
• TLS-configuratiefouten die niet exploiteerbaar zijn
• Ontbrekende beveiligingsheaders zonder aangetoond effect

5. Testregels

Bij het onderzoeken van mogelijke kwetsbaarheden moet u:

• Geen gebruikersgegevens inzien, wijzigen of verwijderen
• De dienst niet verstoren of verslechteren
• Geen denial-of-service-tests uitvoeren
• Een kwetsbaarheid niet verder uitbuiten dan nodig om het bestaan ervan te bevestigen
• Het probleem privé melden en een redelijke tijd geven voor herstel vóór openbare openbaarmaking
• Alle toepasselijke wetten naleven

6. Safe Harbour

Wij beschouwen goedbedoelde beveiligingsonderzoeken die in overeenstemming met dit beleid worden uitgevoerd als geautoriseerde activiteit. Wij zullen geen juridische stappen ondernemen tegen onderzoekers die deze richtlijnen volgen. Dit beleid is geen aanbod van een bug bounty of financiële beloning.

7. Erkenning

Wij danken en erkennen beveiligingsonderzoekers die geldige kwetsbaarheden melden in overeenstemming met dit beleid, tenzij zij anonimiteit verzoeken. Wij reageren binnen 5 werkdagen op meldingen en houden onderzoekers op de hoogte van de voortgang van het herstel.