English
책임 있는 공개

보안 정책

PatchScope 보안 취약점 신고 방법과 범위, 연구 규칙, 응답 목표, 면책 조항, PHP·WordPress 문제 신고처를 안내합니다.

업데이트 2026년 10월 24일

취약점 신고

PatchScope에서 보안 취약점을 발견하셨다면 [email protected]으로 이메일을 보내 주십시오. 보안 문제는 GitHub 공개 이슈, 풀 리퀘스트, 소셜 미디어를 통해 알리지 마십시오.

security.txt 파일은 /.well-known/security.txt에 게시되어 있습니다.

좋은 신고에는 다음 내용이 포함됩니다.

  • 문제에 대한 설명과 잠재적 영향
  • 영향을 받는 URL, 엔드포인트 또는 저장소 내 파일
  • 사용한 요청이나 페이로드를 포함한 단계별 재현 방법
  • 문제를 발견한 날짜와 다른 사람과 공유했는지 여부
  • 감사 표시(크레딧)를 원하시는 방식(원하시는 경우)

범위

범위 내

다음과 같은 문제를 알려 주시기 바랍니다.

  • 사설, 내부 또는 특수 용도 주소나 기본 포트가 아닌 포트에 접근하거나, 리디렉션 검증을 우회하는 등 웹사이트 스캐너의 SSRF 보호 조치 우회
  • 사이트 또는 도구 출력에서의 크로스 사이트 스크립팅(XSS) 등 인젝션 문제
  • 스캐너 응답 본문이나 쿠키 값 등 접근할 수 없어야 하는 데이터의 노출
  • 향후 추가될 수 있는 계정 또는 접근 기능의 인증·인가 문제
  • 문서화된 동작을 넘어 스캐너를 이용해 서드파티 사이트에 상당한 피해를 줄 수 있는 방법

범위 외

  • 대량 트래픽을 이용한 서비스 거부 공격 또는 부하 테스트
  • 소셜 엔지니어링, 피싱, 물리적 공격
  • 현실적인 영향이 입증되지 않은 자동화 스캐너 결과
  • 실제 악용 방법이 없는 모범 사례 헤더 또는 설정 누락
  • Cloudflare, Google 등 저희가 사용하는 서드파티 서비스의 취약점(해당 업체에 신고해 주십시오)
  • 이미 손상된 기기나 브라우저, 또는 비현실적인 사용자 상호작용이 필요한 문제

연구 규칙

PatchScope를 대상으로 연구하실 때는 다음을 지켜 주십시오.

  • 데이터나 서비스를 파괴, 변경 또는 저하시키지 마십시오.
  • 다른 이용자나 제3자의 데이터에 접근하거나 이를 보관 또는 공유하지 마십시오. 그러한 데이터를 발견하시면 즉시 중단하고 신고해 주십시오.
  • 서비스 거부 테스트를 하거나 과도한 트래픽을 발생시키지 마십시오. 속도 제한을 준수해 주십시오.
  • 문제를 시연할 때를 포함하여, 테스트 권한이 없는 웹사이트에 스캐너를 사용하지 마십시오. 직접 관리하는 도메인을 사용해 주십시오.
  • 공개하기 전에 저희가 조사하고 수정할 수 있도록 합리적인 시간을 주십시오.

저희의 약속

  • 접수 확인: 영업일 기준 5일 이내에 신고 접수를 확인하는 것을 목표로 합니다.
  • 평가: 조사를 진행하고 진행 상황을 알려 드리며, 추가 정보가 필요하면 요청드립니다.
  • 조치: 심각한 문제는 30일 이내 수정을 목표로 합니다. 그보다 덜 심각한 문제는 영향도에 따라 처리합니다.
  • 조율된 공개: 신고자와 공개 일정을 협의하며, 동의하시는 경우 발견자로 감사 표시를 합니다.

위 내용은 보장이 아닌 목표입니다. PatchScope는 소규모 팀이 운영합니다.

신고 이후 절차

신고 접수를 확인한 후에는 다음과 같이 진행합니다.

  1. 문제를 재현하고 심각도와 영향을 평가합니다.
  2. 취약점으로 인정하는지 여부를 알려 드리며, 인정하지 않는 경우 그 이유를 설명합니다.
  3. 수정 사항을 개발·배포하고, 원하시는 경우 수정 결과 확인을 요청드립니다.
  4. 공개 일정을 협의합니다. 다른 이용자에게 도움이 되는 경우, 문제와 수정 내용에 대한 간단한 요약을 저장소에 게시할 수 있습니다.

합의한 공개일까지는 세부 내용을 비공개로 유지해 주십시오. 저희의 응답이 끊기거나 일정에 합의하지 못한 경우, 공개하기 전에 [email protected]으로 다시 연락해 주십시오.

면책 조항(세이프 하버)

이 정책에 부합하는 선의의 보안 연구에 대해서는 법적 조치를 취하거나 지원하지 않습니다. 선의의 연구란 개인정보 침해, 데이터 파괴, 서비스 중단을 피하기 위해 최선을 다하고, 발견한 내용을 신속하게 신고하며, 문제를 입증하는 데 필요한 범위를 넘어 악용하지 않는 것을 의미합니다. 어떤 행위가 허용되는지 확실하지 않으면 먼저 [email protected]으로 문의해 주십시오.

이 면책 조항은 범위 내의 PatchScope 시스템에만 적용되며, 서드파티 시스템에 대한 테스트를 허가할 수는 없습니다.

버그 바운티

현재 취약점 신고에 대한 금전적 보상은 제공하지 않습니다. PatchScope 개선에 도움을 주신 연구자분께는 원하시는 경우 감사의 뜻을 표합니다.

PHP 또는 WordPress의 취약점

PatchScope는 알려진 취약점에 대한 정보를 제공하지만, PHP, WordPress 등 서드파티 소프트웨어의 취약점을 처리하지는 않습니다. 다음과 같이 해당 프로젝트에 직접 신고해 주십시오.

취약점이 아니라 권고 데이터의 오류를 발견하셨다면 문의 페이지를 이용해 주십시오.