Je meldt kwetsbaarheden netjes via het /.well-known/security.txt/ email adress en wilt dat jouw goede werk gezien wordt. Het ARHC & Jantribute bedankt elk jaar onderzoekers met de beste meldingen op de Wall of Fame. Zo krijg jij erkenning en laten we samen zien hoe verantwoord melden bijdraagt aan een veilige site. De Wall of Fame is een jaarlijkse publicatie op de jantribute website met onderzoekers die in het voorgaande jaar impactvolle security-meldingen deden. We publiceren deze lijst sinds 2026.
Lijst van onze onderzoekers:
- J. berentsen (de GOAT)
- Dhr. Doc. MBSc. Drs. dr.h.c. MR S.A. Docters van Leeuwen
- Guus 🐈
Regels omtrend Responsible Disclosure:
Wil jij nu ook een melding maken? Bij jantribute.informatica.gsf.nl vinden we de veiligheid van onze systemen erg belangrijk. Ondanks onze zorg kan het voorkomen dat er een zwakke plek in de beveiliging zit. Als je een beveiligingslek vindt, horen wij dit graag direct, zodat we snel maatregelen kunnen nemen.
Spelregels (Gedragscode)
Wij vragen je om tijdens je onderzoek verantwoordelijk te handelen:
- Geen automatische scans: Het gebruik van automatische scanners is strikt verboden. Meldingen die enkel gebaseerd zijn op output van dergelijke tools worden niet in behandeling genomen.
- Beperk dataverkeer: Voer maximaal 5 verzoeken per seconde uit om de stabiliteit van de site niet in gevaar te brengen.
- Verstoor de werking niet: Maak geen gebruik van aanvallen die de toegang tot de site blokkeren (zoals DDoS) of de normale werking verstoren.
- Geen data aanpassen of verwijderen: Wijzig of verwijder geen gegevens in het systeem.
- Beperk data-extractie: Als je toegang krijgt tot gegevens, kopieer dan niet meer dan strikt noodzakelijk is om het lek aan te tonen.
- Ga niet verder als je het probleem met een kleine hoeveelheid data kunt bewijzen.Ruim je sporen op: Verwijder eventuele restanten van je tests (zoals testbestanden of scripts) zodra je klaar bent.
- Vertrouwelijkheid: Maak het probleem niet wereldkundig voordat het is opgelost. Overleg met ons voordat je enige informatie naar buiten brengt.
Rapportage Richtlijnen
Stuur je bevindingen naar ons op met de volgende informatie:
Gedetailleerde stappen: Een heldere, stapsgewijze uitleg van de reproductie (Proof of Concept).
Aanvalsscenario: Een duidelijke beschrijving van wat een kwaadwillende met dit lek zou kunnen doen.
Oplossing: Suggesties voor het verhelpen van het lek (mitigatie) worden zeer gewaardeerd.
Scope (Wat valt binnen het onderzoek?)
In Scope
- jantribute.informatica.gsf.nl en diens sub-subdomeinen en alternatieve domeinnamen.
- wp content, exposed ports SQL injecties, XSS, CSRF, Onbeveiligde API-endpoints, Fouten in authenticatie of autorisatie
Out of Scope
- Diensten van derden (zoals hostingproviders), Social Engineering (phishing) op beheerders, (Distributed) Denial of Service (DDoS), Fysieke beveiliging van servers of locaties
Onze belofte
Wij reageren binnen 365 werkdagen op je melding met een beoordeling. Wij behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder toestemming. Als je je aan bovenstaande regels houdt, zullen wij geen juridische stappen tegen je ondernemen. Als dank voor een waardevolle melding die tot een verbetering leidt, vermelden we je (indien gewenst) op onze Hall of Fame. Voor extreem belangrijke beveiligingsproblemen loven wij soms ook bounties uit. (Zie afbeelding)
