মূল বিষয়বস্তুতে যান
নিরাপত্তা

নিরাপত্তা নীতি ও দায়িত্বশীল প্রকাশ

Medcasts আন্তর্জাতিক রোগীদের জন্য পরিকল্পিত চিকিৎসা ভ্রমণ সমন্বয় করে — আমরা যে ডেটা রাখি (কেস সারাংশ, আইডি, পেমেন্ট উদ্দেশ্য, চিকিৎসা পরিকল্পনা) সংবেদনশীল। আপনি যদি কোনো দুর্বলতা খুঁজে পান, আমরা জানতে চাই।

কীভাবে রিপোর্ট করবেন

ইমেইল করুন medcastsdigital@gmail.com এতে উল্লেখ করুন:

  • সমস্যা + প্রভাবের সংক্ষিপ্ত সারাংশ
  • পুনরুত্পাদনের ধাপগুলি — ন্যূনতম পেলোড, কোনো স্ক্র্যাপিং নেই
  • ঐচ্ছিক PGP কী (অনুরোধ করলে এনক্রিপ্টেড উত্তর সেট আপ করব)

জরুরি সমস্যার জন্য (সক্রিয় এক্সপ্লয়েট), বিষয়টির আগে [CRITICAL] যোগ করুন — ২৪/৭ পেজ করা হয়। নিয়মিত রিপোর্টগুলি ২ কার্যদিবসের মধ্যে লিখিত স্বীকৃতি এবং ৫ দিনের মধ্যে প্রাথমিক মূল্যায়ন পায়।

পরিধির মধ্যে

  • medcasts.com + all *.medcasts.com subdomains
  • /api/v1/* এ পাবলিক API
  • রোগী পোর্টাল টোকেন / সেশন নিরাপত্তা
  • অ্যাডমিন অথেন্টিকেশন, অথোরাইজেশন, সেশন ম্যানেজমেন্ট
  • সংরক্ষিত ডেটা এক্সপোজার (PHI, পেমেন্ট উদ্দেশ্য, যোগাযোগের বিবরণ)
  • SSRF, RCE, SQLi, deserialization, auth-bypass
  • অ্যাডমিন বা রোগী পোর্টালে সংরক্ষিত XSS / DOM XSS

পরিধির বাইরে

  • Self-XSS বা Medcasts কর্মীদের বিরুদ্ধে সোশ্যাল ইঞ্জিনিয়ারিং
  • আমরা যে তৃতীয় পক্ষের পরিষেবা ব্যবহার করি তাতে দুর্বলতা (তাদের কাছে রিপোর্ট করুন)
  • এক্সপ্লয়েট চেইন ছাড়া সেরা-অনুশীলন অনুসন্ধান (অন্য সব জায়গায় সিকিউরিটি হেডার আছে এমন পেজে অনুপস্থিত সিকিউরিটি হেডার, ইত্যাদি)
  • শুধুমাত্র পড়ার জন্য পাবলিক এন্ডপয়েন্টে রেট-লিমিট বাইপাস
  • কোনো এক্সপ্লয়েট ছাড়া পুরানো সফটওয়্যার প্রকাশ
  • অনুসন্ধান ফর্মের মাধ্যমে স্প্যাম / অপব্যবহার (CSRF + রেট-লিমিট ইতোমধ্যে সুরক্ষিত)

আমরা যা চাই

  • রোগীর ডেটা অ্যাক্সেস করবেন না। এক্সপোজার পেলে থামুন, নথিভুক্ত করুন এবং রিপোর্ট করুন। আমরা আমাদের পক্ষে পুনরুত্পাদন করব।
  • প্রোডাকশনের বিরুদ্ধে স্বয়ংক্রিয় স্ক্যানার চালাবেন না। ফর্ক বা লোকাল ডেভ সার্ভারের বিরুদ্ধে পরীক্ষা করুন (প্রজেক্ট README-এ নির্দেশাবলী)।
  • আমরা একটি ফিক্স শিপ না করা পর্যন্ত বা সমন্বিত তারিখ সম্মত না হওয়া পর্যন্ত প্রকাশ্যে প্রকাশ করবেন না (ডিফল্ট ৯০ দিন)।
  • প্রতি সমস্যায় একটি রিপোর্ট। চেইন বান্ডেল করা ঠিক আছে।

স্বীকৃতি

আমরা একটি অর্থহীন স্বীকৃতি প্রোগ্রাম পরিচালনা করি — প্রতিটি নিশ্চিত রিপোর্ট এই পেজে একটি লেখা পায় (গবেষকের নাম + রিপোর্টের তারিখ, অপ্ট-ইন) এবং পোর্টফোলিও ব্যবহারের জন্য একটি রেফারেন্স লেটার। আমরা একটি ছোট দল এবং এখনো একটি পেইড বাউন্টি প্রোগ্রাম চালাই না; পরিবর্তন হলে আমরা স্বচ্ছ থাকব।

রেফারেন্স

বিশ্বাস + স্বচ্ছতা

সংশ্লিষ্ট নীতিমালা

Medcasts তার পর্যালোচনা প্রক্রিয়া, স্বার্থের দ্বন্দ্বের অবস্থান এবং ডেটা পরিচালনার নিয়ম খোলামেলাভাবে প্রকাশ করে। নীচের পেজগুলি মূল পেজ।