Security Hall of Fame. Terima kasih, peneliti.
Kami berterima kasih kepada para peneliti keamanan siber yang telah meluangkan waktu dan keahliannya untuk menemukan dan melaporkan kerentanan di platform Dahono secara bertanggung jawab (Responsible Disclosure).
Laporkan secara privat ke [email protected]. Tidak ada imbalan uang; laporan yang diterima dicantumkan di Hall of Fame.
- Kepada
- [email protected]
- Subjek
- [VDP] Celah access control di api.example.com
Target: api.example.comJenis: Broken access controlDampak: membaca invoice pengguna lainLangkah reproduksi:1. Login dengan akun uji milik sendiri2. GET /v1/invoices/1002 dengan token saya3. Respons berisi invoice pengguna BPoC: request + tangkapan layar terlampir
Contoh susunan laporan. Target dan isinya hanya contoh.
Cara kerja program pengungkapan kami.
Program ini tidak memberikan imbalan finansial atau uang tunai. Sebagai bentuk apresiasi resmi, nama Anda kami cantumkan di Hall of Fame di bawah.
Kami tidak akan mengambil tindakan hukum terhadap peneliti yang melaporkan kerentanan secara etis dan mematuhi aturan di halaman ini.
Kirim temuan secara privat ke [email protected]. Jangan mempublikasikan detail sebelum celah diperbaiki.
Apa yang boleh diuji, dan apa yang tidak.
In-scope
- labs.dahono.comFrontend
- gateway.dahono.comAI Gateway & Admin API
- api-payment.dahono.comPayment & Webhook
- crawler-labs.dahono.comCrawler & Hub API
- api-ai.dahono.comAI Service API
- router.dahono.comGateway Pay-per-token Router
Out-of-scope
- Laporan dari alat pemindai otomatis (automated scanner) tanpa Proof of Concept eksploitasi manual.
- AI Prompt Injection / System Prompt Leak (termasuk trik bypass), karena merupakan limitasi bawaan LLM.
- Kebocoran Firebase Config/API Key, kecuali Anda membuktikan bypass Firestore Security Rules.
- CORS misconfiguration tanpa bukti eksploitasi Account Takeover atau bypass aktual.
- Serangan DDoS (Distributed Denial of Service) atau eksploitasi rate limit.
- Social engineering terhadap karyawan atau pengguna Dahono.
- Spamming.
- Kerentanan pada layanan pihak ketiga (contoh: Firebase, Tripay, Cloudflare).
- Serangan fisik ke infrastruktur server.
Uji dengan itikad baik.
Peneliti yang mematuhi aturan ini dilindungi komitmen Safe Harbor kami: kami tidak akan menempuh jalur hukum atas riset yang dilakukan dengan itikad baik.
- 01Jaga kerahasiaan kerentanan dan laporkan hanya kepada kami sampai celah diperbaiki.
- 02Jangan melakukan serangan DoS/DDoS, eksploitasi rate limit, atau spam pendaftaran palsu.
- 03Jangan mengakses, mengubah, atau merusak data pengguna lain. Gunakan akun Anda sendiri untuk pengujian.
- 04Sertakan Proof of Concept manual. Hasil pemindai otomatis saja tidak diterima.
- 05Tetap berada dalam target in-scope yang tercantum di atas.
Tiga langkah menuju laporan yang dikreditkan.
- 01Kirim laporan lewat email
Tulis ke [email protected] berisi target yang terdampak, deskripsi kerentanan, dan dampaknya.
- 02Sertakan langkah reproduksi
Proof of Concept manual (request, tangkapan layar, atau video singkat) membantu kami memverifikasi celah dengan cepat.
- 03Dapatkan kredit
Setelah laporan diverifikasi dan diterima, nama Anda beserta tautan pilihan Anda dicantumkan di Hall of Fame.
Detail pengungkapan juga tersedia di /.well-known/security.txt.
Peneliti berjasa.
| No. | Peneliti | Kerentanan | Scope | Waktu |
|---|---|---|---|---|
| 01 | オ山オ | Payment Logic Flaw | api-payment.dahono.com | Juni 2026 |
| 02 | オ山オ | Markdown Injection (SSRF/XSS) | labs.dahono.com | Juni 2026 |
| 03 | 5ummer | Source Code Disclosure & Auth Bypass | api-payment.dahono.com | Juni 2026 |
| 04 | 5ummer | Reflected XSS & Auth Bypass | crawler-labs.dahono.com | Juni 2026 |
| 05 | Muh. Zakir R. | Payment Logic Flaw | api-payment.dahono.com | Juni 2026 |
| 06 | 5ummer | Unauthenticated Metrics Exposure & Token Validation Bypass | gateway.dahono.com | Juni 2026 |
| 07 | 5ummer | Unauthenticated AI Inference & API Access | api-ai.dahono.com | Juni 2026 |
| 08 | Bio Chemist | Internal API Exposure & Information Disclosure | gateway.dahono.com | Oktober 2026 |
Punya laporan keamanan?
Laporkan secara privat lewat email. Program ini bersifat unpaid (VDP): tanpa imbalan finansial, tetapi nama Anda dicantumkan di Hall of Fame sebagai bentuk apresiasi resmi.