Cosa è stato trovato, e quanto valeva

Due premi, tenuti separati

Sono separati di proposito, e confonderli è il modo in cui un programma di bug bounty muore.

Il premio per la gravità

Si basa su ciò che era effettivamente a rischio, in quattro fasce — A critica, B alta, C normale, D bassa. La gravità è legata a ciò che è a rischio, non a ciò che la segnalazione dichiarava. Una segnalazione viene a volte declassata. A volte viene anche promossa oltre quanto richiesto dal suo autore, quando ciò che c'è dietro si rivela peggiore di quanto si pensasse.

Il premio per la qualità

Pagato per il lavoro che rende migliore una scoperta reale: una riproduzione che chiunque può eseguire, la riga indicata con precisione, l'impatto dimensionato onestamente, una correzione proposta, i casi collegati individuati invece di fermarsi al primo. È quello che paghiamo quando qualcuno trasforma una segnalazione scarna in una su cui uno sviluppatore può agire.

Non viene pagato solo per lo sforzo. Una segnalazione che non possiamo riprodurre, o che descrive un comportamento previsto, non riceve alcun premio per quanto lavoro ci sia dietro, e non viene elencata qui. Lo diciamo nella discussione sul forum e spieghiamo perché, così la prossima segnalazione può essere migliore.

Una segnalazione accurata che include ciò che una più scarna ha omesso può valere più della scoperta a cui si riferisce.

Segnalazioni e scoperte non sono la stessa cosa

Alcune di queste sono arrivate come un'unica segnalazione che copriva più difetti, e sono state suddivise sul forum in una discussione per scoperta, così ognuna può essere seguita e corretta singolarmente. Ogni scoperta qui sotto ha la propria fascia; quando proviene da una segnalazione più ampia, la riga lo indica e vi rimanda con un link.

La segnalazione in sé non riceve una riga propria. Conteggiarla come una scoperta gonfierebbe i totali, e le segnalazioni sono già state suddivise.

Cosa arriva su questa pagina

Solo le scoperte che sono state riprodotte e prese in carico, il che sul forum significa che sono state spostate in una categoria curata. Le categorie di raccolta aperte sono quelle dove chiunque può pubblicare, e molto di ciò che vi si trova non è ancora stato riprodotto — quelle non sono elencate qui. Una scoperta compare quando è confermata, e non prima.

Come viene deciso uno stato

Sondando la rete attiva, non leggendo un messaggio di commit. Una correzione che è stata unita, o distribuita, o descritta come completata in una discussione, non viene registrata qui come risolta finché la scoperta stessa non è stata ritestata su ciò che è effettivamente in esecuzione. Quando questo controllo non concorda con quanto dichiarato, lo stato viene corretto qui e nella discussione sul forum, così chi ha segnalato vede la correzione nello stesso posto in cui ha presentato la segnalazione.

Due stati sono stati corretti in questo modo il 21 settembre, entrambi nella direzione di ammettere meno progressi di quanto dichiarato. Una pagina dei bounty che si muove sempre e solo verso "risolto" non vale la pena di essere letta.