Данная политика описывает порядок рассмотрения отчётов о публично раскрытых уязвимостях в популярных внешних библиотеках и продуктах используемых в сервисах Яндекса, в том числе CVE.

После публичного раскрытия таких уязвимостей в Интернете мы самостоятельно проверяем затронутые сервисы. Возможность получить награду зависит от срока после раскрытия и того, известна ли проблема нашей команде.

Срок отсчитывается с момента публичного раскрытия уязвимости:

• В первые 30 дней Яндекс не выплачивает вознаграждения за отчёты о такой уязвимости. В этот период мы самостоятельно устанавливаем исправления.

• С 31-го по 60-й день перед отправкой отчёта рекомендуем уточнить статус исправления для конкретного сервиса через бота поддержки. Мы стремимся устанавливать обновления за месяц, но в отдельных случаях требуется больше времени.

• Начиная с 90-го дня с даты раскрытия можно отправлять отчёты.

Также просим обратить внимание:

• Не забывайте прикладывать шаги воспроизведения и описывать влияние конкретной уязвимости на безопасность сервиса.

• Если уязвимость уже известна нашей команде, отчёт может быть признан дубликатом в соответствии с общими правилами программы.

• Если вы обнаружили 0-day уязвимость в библиотеках или 3rd-party ПО используемом в сервисах Яндекса, действуйте по правилам политики по внешнему ПО