Sicherheit: Schwachstellen melden

Wenn du glaubst, eine Sicherheitslücke bei M365.FM gefunden zu haben, sag mir bitte Bescheid. Ich freue mich über jede verantwortungsvolle Meldung und behebe das Problem gemeinsam mit dir so schnell wie möglich.

So meldest du eine Schwachstelle

E-Mail: [email protected]

Bitte nutze den Betreff Security und gib an:

die betroffene Adresse (URL) oder den API-Endpunkt,
eine Beschreibung des Problems und der möglichen Auswirkungen,
die Schritte zum Nachvollziehen (Screenshots oder ein kurzer Nachweis helfen),
ob und wie du genannt werden möchtest.

Bitte veröffentliche die Details erst, wenn das Problem behoben ist. Maschinenlesbare Kontaktdaten: /.well-known/security.txt.

Wie es weitergeht

Du bekommst innerhalb von 5 Werktagen eine Bestätigung.
Ich prüfe die Meldung, halte dich über den Stand auf dem Laufenden und sage dir, wenn das Problem behoben ist.
Für die Veröffentlichung bitte ich um bis zu 90 Tage, oder weniger, wenn die Behebung früher live ist. Den Zeitpunkt stimmen wir gemeinsam ab.
Wenn du möchtest, wirst du nach der Behebung mit Dank genannt.

Ein bezahltes Bug-Bounty-Programm gibt es nicht.

Geltungsbereich

www.m365.fm
m365.fm
dub.m365.fm
api-dub.m365.fm
img.m365.fm

Dienste anderer Anbieter, die M365.FM nutzt (zum Beispiel Spreaker, YouTube, Cloudflare, GitHub sowie die Anmeldung über Google und Microsoft), gehören nicht dazu; Probleme dort bitte direkt dem jeweiligen Anbieter melden.

Regeln für Tests

Greife nur so weit auf Daten zu, ändere oder lösche sie nur so weit, wie es zum Nachweis nötig ist, und nur bei eigenen Konten und Daten. Sobald du Daten anderer Personen siehst: aufhören und melden.
Keine Denial-of-Service-Tests, keine Last- oder Massenscans, kein Spam, kein Social Engineering und keine physischen Angriffe.
Nutze eine Schwachstelle nicht über den Nachweis hinaus und lösche erlangte Daten nach der Meldung.

Forschung, die sich an diese Regeln hält, gilt als in gutem Glauben; ich gehe dagegen nicht vor.

In der Regel nicht berücksichtigt

Meldungen automatischer Scanner ohne nachgewiesene Auswirkung
Fehlende Sicherheits-Header oder Cookie-Flags ohne konkreten Angriff
Empfehlungen zu SPF, DKIM oder DMARC ohne nachgewiesenes Spoofing-Problem
Clickjacking auf Seiten ohne sensible Aktionen, Self-XSS sowie Ratenbegrenzung bei nicht sensiblen Funktionen
Probleme, die ein kompromittiertes Gerät oder einen kompromittierten Browser voraussetzen