WB Bug Bounty

📣 Изменения в политике программы

За последние несколько месяцев мы немного поменяли нашу программу:

— Обновили скоуп. Перед следующим поиском уязвимостей сверьтесь с актуальной версией на платформе.

— Улучшили внутренние процессы для ускорения триажа

— Добавили правила по использованию LLM. Использовать LLM для ханта можно, репортить нейрослоп — не стоит.

— Поменяли формат заголовка багхантера. Теперь заголовок обязателен и выглядит так:

X-BugBounty: <UUID>

Найти свой можно на странице описания программы. Добавляйте его в каждый запрос.

🖥 Полный список правил

Желаем хороших находок!

📣 Добавляйте заголовок X-Bug-Bounty к своим запросам

Заметили, что не все соблюдают важное требование политики программы — добавлять к запросам HTTP-заголовок. Хотим напомнить: без них ваш трафик не отличается от реальной атаки, и такие учётные записи и IP-адреса мы можем заблокировать из соображений безопасности.

✔️ Чтобы этого не произошло, добавляйте к каждому запросу HTTP-заголовок:

X-Bug-Bounty: {username}

где username — ваш ник на Standoff 365

С сегодняшнего дня будем внимательнее следить за соблюдением этого требования. К отчётам без заголовка будем возвращаться с замечаниями, а при частых нарушениях — переводить их в статус информативных.

🎆 Итоги первого приватного ивента для багхантеров

Пятничным вечером собрали лучших исследователей на наше первое закрытое мероприятие для лучших багхантеров.

Что делали:

🔵 провели откровенный круглый стол;
🔵 поделились итогами года и планами на 2026-й;
🔵 наградили топовых багхантеров;
🔵 а еще сыграли в дженгу, освоили бирпонг и мощно наобщались со всеми лично.

Было очень круто! Спасибо всем, кто провёл этот вечер вместе с нами.

Делимся небольшим видео с мероприятия.

❄️ Итоги года и наш первый приватный ивент в Москве

В прошлом году мы получили 247 отчётов, из них 85 приняли. А в 2025 эти цифры превратились уже в 800 и 259.

📈 Отсюда и главный факт года: в 2025-м мы приняли и оплатили больше отчётов, чем вообще получили за весь 2024-й.

Главный пик в 400+ отчётов пришёлся на середину третьего квартала. В тот момент одновременно шёл отбор в закрытую программу, Standoff Hacks в Индии и развитие канала. Входящий поток давил сильно — отдельный привет katopater69 и rolegiv: они принесли по 40 отчётов всего за пару месяцев.

Несмотря на трудности процесс успели перестроить: бэклог снова в норме, даже с учётом новых волн входящего. И это при том, что после пика получили ещё свыше двухсот отчётов.

Ваша обратная связь помогла нам ускориться и поднять наблюдаемость: сейчас видим узкие места и разгружаем процесс быстрее.

🔥 12 декабря проведём приватный ивент в Москве — хотим лично поблагодарить за этот год и вместе обсудить, что изменилось и куда движемся дальше.

Это офлайн-встреча коммьюнити: короткие выступления, круглый стол для вопросов, внутренняя кухня программы и живое обсуждение. Приглашения разослали заранее — мы позвали тех, кто был активным, приносил сильные находки и давно в контексте.

🥇 За 2025 год особенно выделились:
sos1somba, byq, m0m0x01d, rolegiv и n0ts3cur3.

👑 Топ за всё время:
byq, sos1somba, kedr, Fi5t и r0hack.

На ивенте вручим подарки, а также проведём розыгрыши среди гостей.

👍 Если вы не получили приглашение, но хотите быть ближе к коммьюнити в следующем сезоне — приносите хорошие отчёты. Сильные находки мы всегда видим.

До встречи 12 декабря!

✉️ Первые итоги формы обратной связи

За два месяца вы прислали 14 обращений. На часть мы ответили лично, а здесь разбираем самые частые темы.

🗣️ Зафиксите плиз баги, а то мне дубли летят на репорты годичной давности

Нашли 36 старых незакрытых уязвимостей за всю историю — это примерно 2% от всех репортов, в основном medium и low. Уже закрываем, про прогресс расскажем отдельно.

Полезный инсайт: концентрируйтесь на high-impact находках — среди них дублей заметно меньше, и они быстрее доходят до фикса.

🗣️ А подскажите пожалуйста статус по моим отчётам, а то уже больше месяца нет обратной связи

С августа пришло 400+ отчётов (≈13 в день) — на фоне отбора, OFFZONE, Standoff Hacks и запуска приватки. Некритичные репорты ставили в низкий приоритет, чтобы не утонуть в потоке.

Понимаем, что ждать месяц тяжело. Уже разобрали более 80% отчётов, нагрузка снизилась — продолжаем разбирать оставшиеся и работаем над тем, чтобы время отклика стало короче.

Первый разбор обращений оказался ценнее, чем мы думали — будем делать ещё. Пишите, что для вас важно, через форму.

🖥 Форма обратной связи: https://forms.wb.ru/form/answer?formId=dccdd7e9-cf52-4c09-98ca-304b7c9d7519

Спасибо, что помогаете чинить не только баги!

🚩 Отбор завершён

В приватку прошли 13 хакеров. Поздравляем победителей! Сегодня вы получите приглашения на Standoff и доступ в Telegram-чат.

Увидимся там!

🥇 Лидеры отбора в приватку:
#1 sos1somba
#2 katopater69
#3 Doom
#4 DsxN0de
#5 end0x1
#6 skidd1row
#7 sside
#8 AlexShev
#9 artebels
#10 Disst

🔥 Хакеры полугодия:
#1 sos1somba
#2 katopater69
#3 n0ts3cur3
#4 xssmaster
#5 skidd1row
#6 DsxN0de
#7 thenothing
#8 rolegiv
#9 end0x1
#10 wlp3s0

✨ Обладателей этих ников ждут подарки. Подходите неспеша до конца OFFZONE к нашему стенду — всё подготовили!

📣 Привет с OFFZONE — мы туть!

Как и обещали, делимся лутом ⬇️

💸 Промокоды и коктейли:

— Топ-10 лидеров отбора → 30 000 ₽
— Топ-10 хакеров полугодия → 30 000 ₽
— Подписка на канал → 10 000 ₽
— Medium/low на OFFZONE (принятая) → 10 000 ₽, 3 коктейля
— Crit/high на OFFZONE (принятая) → 30 000 ₽, 3 коктейля
— Дубликат → 1 коктейль
— Форма обратки (ценное предложение или проблема) → 10 000 ₽, коктейль

Промокод — бонус к принятому отчёту. Один раз увеличивает выплату на указанную сумму.

👑 Мерч:

— Топ-1 (отбор) → рюкзак, павербанк, бутылка, стикеры
— Топ-2–5 (отбор) → свитшот, павербанк, брелок, стикеры
— Топ-6–10 (отбор) → футболка, брелок, бутылка, стикеры
— Топ-10 (полгода) → футболка, брелок, стикеры, носки

ℹ️ На стенде можно:

— Пообщаться с триажерами
— Взять тестовую учётку в труднодоступном сервисе WB

Ждём у стенда!

🔈 Новости к OFFZONE 2025

Конференция уже послезавтра. Мы готовим для неё два больших блока:

Подарки для:
— 10 лидеров текущего отбора в приватку,
— 10 лучших хакеров за последние полгода,
— участников мини‑ивента во время конференции.

Стенд — место для живого общения: познакомиться и пообщаться с триажерами, обсудить отчёт, оформить тестовую учётку для сложных сервисов (Портал продавцов, ПВЗ).

Что за лут — расскажем ближе к конференции. А пока у вас ещё пара вечеров, чтобы попасть в топ.

💥 Но один из подарков всё‑таки раскроем: отбор продлён до 29 августа. Неделя в запасе, чтобы пробиться к новому скоупу — надеемся, это порадует!

До встречи на OFFZONE 2025 — увидимся у стенда.

✨ Стартовал отбор в закрытый ивент

Наша программа превысила 1000 репортов — благодарим каждого, кто внёс вклад в нашу безопасность.

В честь этого запускаем отбор в закрытый ивент. Он стартует 1 сентября и продлится более месяца. Вас ждут:

— новый скоуп, которого не было в программе,
— дополнительные конкурсы и подарки,
— онлайн- и оффлайн-части.

Как попасть: сдавайте уязвимости по основной программе с 8 по 22 августа. Определим лучших и пригласим в приватку.

🥇 Итоги — сразу после OFFZONE 2025. Мы там будем.

Желаем удачи!

💸Обновили политику вознаграждений

— Tier 1 расширен: WB Bank и WB Finance
— Tier 3 убран, теперь уязвимости из него оплачиваются по Tier 2 (вознаграждения выросли вдвое)
— добавлены два особых сценария:
• «несанкционированный доступ к аккаунту покупателя»
• «несанкционированное финансовое обогащение»
— увеличен максимум за сценарий — 1 000 000 ₽

🖥 Полные правила:
https://bugbounty.standoff365.com/programs/wildberries/

Ждём ваши находки.

💬 Создали форму обратной связи

Раньше вы писали на почту, в личку и через знакомых. Было неудобно.

Теперь всё централизовано:
— сообщить о проблеме,
— предложить изменения в программе,
— рассказать, что наболело,
— сравнить нас с другими.

Форма уходит в командный чат — её увидят триажеры, руководитель и владелец программы.

Во вторую пятницу каждого месяца будем разбирать обращения и писать в канал: что изменили, что думаем и почему.

🖥 Форма: https://forms.wb.ru/form/answer?formId=dccdd7e9-cf52-4c09-98ca-304b7c9d7519

Спасибо всем, кто помогает нам чинить не только баги.

⚡️ Мы снова на связи

Канал молчал год — с июля 2024. Возвращаемся.

Что дальше:
— новые правила и выплаты,
— конкурсы с бонусами,
— инструменты для анализа наших приложений,
— прозрачная обратная связь.

🔖 Подписка: @wildberries_bugbounty

Во вторник — первый апдейт.

💲Увеличенные выплаты и обновленные правила 🔄

Привет, багхантеры! У нас масштабные обновления — мы релизнули нашу новую политику. Что вас ждет?

Повышенные выплаты
🔵Теперь за Critical уязвимости можно получить в 2 раза больше — до 500 000 ₽, а за High уязвимости аж в 3 раза — до 200 000 ₽ 🎉
🔵Легендарные баги за косарь остаются в прошлом — минимальная выплата увеличена в пять раз ❤️

Новые правила
🔵Мы разделили наши сервисы на 3 тира — и теперь вам доступен новый тир с повышенными выплатами
🔵У нас увеличился скоуп доменов второго уровня — встречайте *.wbwh.ru, *.wbwh.tech, *.wbheld.ru
🔵В программе появилось несколько новых исключений

Подробнее — в нашей политике

Присоединяйтесь к нам — дальше будет еще интереснее 🙂

🖥 Привет, охотники за уязвимостями!

Супер новость для вас — мы запустили канал Wildberries Bug Bounty. Что вас здесь ждёт:

🔵Свежие апдейты нашей программы;
🔵Интересные конкурсы;
🔵Инфо о выплатах и найденных багах;
🔵Эксклюзив: инсайды прямо от нашей команды.

💬 Заходите на @wildberries_bugbounty, чтобы быть в курсе всех новостей.

И помните, быть багхантером — это круто! 😎

Поехали! 🚀

Channel created