ZelixAI (InterIP Networks BV) voert een gecoördineerd kwetsbaarheidsopenbaarmaking-programma. Wij committeren ons aan het volgende:
- Wij bevestigen ontvangst van je rapport binnen 5 werkdagen.
- Wij onderzoeken en patchen de kwetsbaarheid, indien bevestigd, binnen een venster van 90 dagen vanaf de datum van bevestiging.
- Wij vragen je de kwetsbaarheid niet openbaar te bespreken voordat de 90-dagenperiode is verstreken en wij de fix hebben bevestigd.
- Als een patch niet binnen 90 dagen kan worden geleverd, spreken wij een gezamenlijke verlenging met je af.
- Wij nemen geen juridische stappen tegen onderzoekers die dit beleid te goeder trouw volgen.
1
Dien je rapport in
Stuur een duidelijke beschrijving van de kwetsbaarheid, stappen om te reproduceren, getroffen URL/component en mogelijke impact naar security@zelixai.ai. PGP-versleutelde rapporten zijn welkom.
2
Bevestiging (binnen 5 werkdagen)
Wij bevestigen ontvangst en beginnen met triage. Wij stellen indien nodig verduidelijkende vragen.
3
Fix en verificatie (binnen 90 dagen)
Wij patchen het probleem en nodigen je waar mogelijk uit de fix te verifiëren. Wij houden je op de hoogte van de voortgang.
4
Gecoördineerde openbaarmaking
Na bevestiging van de fix publiceren wij een beveiligingsadvies (indien van toepassing) en vermelden wij je — met je toestemming — in onze hall of fame.
Bespreek mogelijke kwetsbaarheden niet in publieke kanalen (GitHub, sociale media, forums) voordat je met ons hebt gecoördineerd.
Het volgende valt buiten de reikwijdte van ons programma en wordt niet beloond of erkend:
✗
Denial-of-service-aanvallen (volumetrisch of op applicatieniveau)
✗
Phishing, typosquatting of social-engineering-aanvallen gericht op ZelixAI-medewerkers of klanten
✗
Social engineering van supportmedewerkers
✗
Fysieke beveiligingskwetsbaarheden
✗
E-mailspam / SPF-DKIM-misconfiguratie-rapporten zonder aangetoonde exploitatie
✗
Geautomatiseerde scanner-output zonder handmatige verificatie
✗
Kwetsbaarheden in derde-partijdiensten die wij gebruiken (meld direct bij de leverancier)
✗
Self-XSS waarbij het slachtoffer zijn eigen kwaadaardige invoer moet invoeren
Wij erkennen dankbaar de volgende onderzoekers die kwetsbaarheden verantwoord aan ons hebben gemeld:
🏆
Nog geen vermeldingen — wees de eerste die erkend wordt!
Onderzoekers die een geldige, in-scope kwetsbaarheid melden en toestemming geven voor vermelding, verschijnen hier na gecoördineerde openbaarmaking.
