الأمانبرنامج مكافآت الثغرات

اكتشف ما فاتنا.

نحفظ بيانات أشخاص يثقون بنا، من بياناتهم الشخصية إلى بيانات الدفع. إذا وجدت طريقاً إليها لا ينبغي أن يكون موجوداً، أبلغنا بشكل خاص. نُصلحه بسرعة، وننسب الفضل إليك، ونكافئك.

أبلغ عن ثغرةاقرأ القواعد

3,000

أعلى مكافأة لثغرة حرجة

يومَا عمل

حتى أول رد من فريقنا

حماية قانونية

لمن يبحث بحسن نية ويلتزم بالسياسة

المكافآت

ندفع حسب الأثر الفعلي.

يحدّد فريقنا الخطورة النهائية باستخدام CVSS 3.1 مع مراعاة الخطر الحقيقي على المستخدمين. التقرير الذي يُثبت وصولاً فعلياً إلى بيانات حساسة يحصل على الحد الأعلى من فئته.

حرجة9.0 إلى 10.01,500 إلى 3,000 تنفيذ أوامر عن بُعد، تجاوز تسجيل الدخول، الوصول إلى البيانات الشخصية أو بيانات الدفع لعدد كبير من المستخدمين.
عالية7.0 إلى 8.9600 إلى 1,500 الاستيلاء على حساب، قراءة رسائل مستخدم آخر أو بياناته الشخصية، ثغرة IDOR تكشف بيانات حساسة، XSS مخزّنة في صفحات حساسة.
متوسطة4.0 إلى 6.9150 إلى 600 CSRF على إجراءات حساسة، XSS منعكسة، كشف محدود للبيانات، التلاعب بالأسعار أو الطلبات أو الخصومات.
منخفضة0.1 إلى 3.960 إلى 150 إعدادات أمنية خاطئة لها أثر مُثبت، إعادة توجيه مفتوحة محدودة الأثر، تسرّب بسيط للمعلومات.

المبالغ بالريال السعودي. الملاحظات التي لا تبلغ مستوى منخفضة نشكرك عليها بذكر اسمك في لوحة الشرف.

النطاق

ما يمكنك اختباره.

ضمن النطاق

  • five.saموقع الشركة
  • *.five.saالنطاقات الفرعية التي نديرها
  • تطبيقاتناالتطبيقات المنشورة باسم Five Digital Solutions Company على App Store وGoogle Play وAppGallery
  • منصاتناالمنصات والواجهات البرمجية التي تشغّلها الشركة

غير متأكد إن كان أصل ما يتبع لنا؟ اسألنا على security@five.sa قبل الاختبار.

خارج النطاق

  • خدمات الأطراف الثالثة التي نستخدمها، مثل مزوّدي الدفع والاستضافة والبريد. أبلغ مزوّد الخدمة مباشرة.
  • هجمات حجب الخدمة واختبارات الضغط
  • الهندسة الاجتماعية والتصيّد، والتواصل مع موظفينا أو مستخدمينا
  • الهجمات المادية على مكاتبنا أو أجهزتنا
  • نتائج الماسحات الآلية دون إثبات عملي
  • غياب ترويسات أمنية أو إعدادات SPF وDKIM وDMARC دون أثر مُثبت
  • Clickjacking في صفحات بلا إجراءات حساسة، وSelf-XSS، وCSRF على تسجيل الخروج
  • ثغرات تتطلب جهازاً مكسور الحماية أو وصولاً مادياً إلى جهاز الضحية

القواعد

اختبر بمسؤولية.

افعل

  • استخدم حسابات اختبار أنشأتها بنفسك.
  • توقّف فور إثبات الثغرة، وأبلغنا مباشرة.
  • اعرض سجلاً واحداً يكفي لإثبات الأثر، ثم توقّف عنده.
  • احتفظ بالتفاصيل سرّية حتى نُصلح الثغرة ونتفق معك على موعد النشر.
  • احذف أي بيانات حصلت عليها بعد إغلاق التقرير.

لا تفعل

  • لا تطّلع على بيانات المستخدمين الآخرين أو تعدّلها أو تحتفظ بها.
  • لا تُجرِ عمليات دفع أو طلبات حقيقية، ولا تتواصل مع مستخدمين حقيقيين.
  • لا تشغّل هجمات حجب خدمة أو فحوصات كثيفة، وأبقِ الاختبار الآلي تحت 10 طلبات في الثانية.
  • لا تستخدم الهندسة الاجتماعية أو التصيّد أو أي هجوم مادي.
  • لا تطلب مالاً مقابل عدم النشر. هذا ابتزاز، وسنتعامل معه على هذا الأساس.

الحماية القانونية

نحمي من يبحث بحسن نية.

إذا التزمت بهذه السياسة وتصرّفت بحسن نية، نعتبر بحثك مصرّحاً به. لن نتخذ ضدك أي إجراء قانوني بسببه، ولن نبلّغ عنك أي جهة. وإذا اتخذ طرف آخر إجراءً ضدك بسبب بحث التزمت فيه بهذه السياسة، سنوضّح أنك كنت تعمل ضمن برنامجنا.

إذا لم تكن متأكداً من أن أمراً ما مسموح، اسألنا أولاً على security@five.sa

المراحل

من تقريرك إلى مكافأتك.

  1. 1

    تُبلغنا

    ترسل خطوات إعادة الإنتاج والأثر وإثبات المفهوم.

  2. 2

    أول رد

    خلال يومَي عمل، يؤكد أحد أفراد فريقنا استلام تقريرك.

  3. 3

    التقييم

    خلال 5 أيام عمل نؤكد الثغرة ودرجة خطورتها، أو نوضّح سبب عدم أهليتها.

  4. 4

    الإصلاح

    نُصلح الثغرة ونبقيك على اطلاع، ويمكنك إعادة الاختبار بعدها.

  5. 5

    المكافأة

    ندفع خلال 30 يوماً من تأكيد الإصلاح، ونضيف اسمك إلى لوحة الشرف إن رغبت.

الإبلاغ

أبلغ عن ثغرة.

اكتب بالعربية أو الإنجليزية. يجهّز الزر رسالة في تطبيق البريد لديك موجّهة إلى فريق الأمان، ولا يُرسَل شيء قبل أن تضغط إرسال بنفسك.

ما نحتاجه في التقرير

  • الأصل المتأثر والرابط الدقيق
  • خطوات واضحة لإعادة الإنتاج
  • الأثر الفعلي ومن يتأثر به
  • إثبات المفهوم: لقطات شاشة أو فيديو أو طلبات HTTP

تفضّل المراسلة مباشرة؟

security@five.sa
تقديرك للخطورة

أكمل البريد والعنوان والخطوات، ووافق على السياسة.

لوحة الشرف

لا أسماء بعد.

أول تقرير صحيح يأخذ المكان الأول. نذكر الاسم أو المعرّف الذي تختاره، أو لا نذكر شيئاً إن فضّلت ذلك.

1مكانك هنا

ملف security.txt

نقطة التواصل الأمنية منشورة بالصيغة المعتمدة عالمياً، لتصلها أدواتك مباشرة.

five.sa/.well-known/security.txt
Contact: mailto:security@five.saExpires: 2027-10-27T00:00:00ZPreferred-Languages: ar, enPolicy: https://five.sa/bug-bountyAcknowledgments: https://five.sa/bug-bounty#hallCanonical: https://five.sa/.well-known/security.txtBug-Bounty: True

الأسئلة

قبل أن تبدأ.

من يمكنه المشاركة؟
أي شخص من أي مكان. لا تُصرف المكافآت لموظفينا والمتعاقدين معنا وعائلاتهم.
كيف تُصرف المكافأة؟
بتحويل بنكي بعد تأكيد الإصلاح. نطلب بيانات الدفع في تلك المرحلة فقط، ولا نطلبها قبلها أبداً.
ماذا لو أبلغ أحد قبلي؟
المكافأة لأول تقرير صحيح. إذا كان تقريرك مكرراً سنخبرك بذلك.
هل يمكنني نشر ما وجدته؟
نعم، بعد الإصلاح وفي موعد نتفق عليه معاً. إذا لم نُصلح الثغرة خلال 90 يوماً من تقريرك، تواصل معنا لنضع جدولاً زمنياً.
هل يُسمح بالأدوات الآلية؟
نعم، بشرط ألا تتجاوز 10 طلبات في الثانية وألا تؤثر على الخدمة.
بأي لغة أكتب التقرير؟
بالعربية أو الإنجليزية، كما تفضّل.