RELATÓRIOS BUGCROWD — Táticas Específicas do Programa

Complemento da habilidade genérica report-writing. Use ao trabalhar especificamente em submissões Bugcrowd onde o mapeamento VRT, refutações de cláusulas OOS ou seleção de alvo por programa são importantes.

Esta habilidade codifica padrões que se aplicam especificamente ao fluxo de submissão da Bugcrowd. Para os modelos genéricos por plataforma (corpos de relatório HackerOne / Bugcrowd / Intigriti / Immunefi), use a habilidade report-writing. Para o Portão de 7 Perguntas antes de decidir relatar, use triage-validation.

1. Seleção de Categoria VRT — Estratégia de Busca e Fallback

O formulário de submissão da Bugcrowd exige uma única seleção VRT (Vulnerability Rating Taxonomy). A severidade padrão do dropdown está vinculada ao nó escolhido — escolha errado e o formulário sugere automaticamente uma prioridade menor (geralmente P4) quando o impacto real é P3 ou P2.

Nota: As severidades padrão VRT não são constantes fixas. A Bugcrowd revisa o esquema VRT em diferentes versões, e programas individuais podem remapear os padrões através de sua própria configuração de prioridade. Os valores P mostrados nos exemplos abaixo (por exemplo, "Sem Limitação de Taxa no Formulário → Login" com padrão P4) são a linha de base típica no momento da escrita — sempre leia a severidade que o formulário atual realmente sugere automaticamente para este programa, em vez de assumir o valor aqui.

1.1 Hierarquia de busca (tente em ordem, escolha a correspondência de maior severidade que ainda descreve o bug)

Para qualquer descoberta, pesquise no dropdown VRT com estes termos nesta ordem:

1. A classe primária do bug — por exemplo, IDOR, XSS, SSRF, auth bypass, 2FA bypass
2. A categoria de dados exposta — por exemplo, PII, sensitive data exposure, disclosure of secrets
3. O controle contornado — por exemplo, broken access control, authentication bypass
4. O tipo de endpoint — por exemplo, no rate limiting on form > login, no rate limiting on form > change password
5. O nó pai genérico — por exemplo, Server Security Misconfiguration > Other, Broken Access Control > Other

1.2 Escolha a correspondência de maior severidade que ainda descreve o bug com precisão

Nunca selecione um VRT que deturpe o bug apenas para obter uma severidade padrão maior. Triadores reatribuirão e podem sinalizar a deturpação. A disciplina é: escolha o VRT mais específico preciso, em seguida, use §2 (Substituição Manual de Severidade) se o padrão estiver incorreto.

1.3 Mapeamentos comuns que valem a pena saber

1.4 Se não houver um bom VRT

Escolha Server Security Misconfiguration → Other ou Broken Access Control → Other e inicie o corpo da descrição com uma "Nota de mapeamento VRT" explicando por que o nó escolhido é a correspondência mais próxima disponível e qual é o bug real.

2. Substituição Manual de Severidade

O formulário da Bugcrowd permite que você defina manualmente a Severidade Técnica separada do padrão VRT. O próprio texto do formulário afirma: "Uma classificação de severidade sugerida pelo VRT não garante que seja a classificação de severidade aplicada à sua submissão."

2.1 Quando substituir

Substitua o padrão VRT quando:

• O resultado encadeado for uma severidade maior do que a classe de bug isolada (cadeia → ATO)
• A categoria VRT for aproximada e seu padrão não refletir a classe de impacto real

…