Vercel свела приватный и OSS bounty в одну публичную программу

С 2022 года Vercel платила за уязвимости через закрытую программу на HackerOne , теперь компания свела её с отдельным OSS bounty в одну публичную: в охвате все продукты платформы и открытые репозитории. ИИ резко увеличил число отчётов, в том числе шумовых; часть вендоров уходит в приватные программы, а Vercel оставляет канал открытым и гонит фильтры до ручного разбора. Раньше на HackerOne висело несколько программ, и исследователи путались, куда отправлять находку. Параллельно уже шли публичные акции: челлендж React2Shell на $1 million, Vercel Sandbox hacker challenge на $1 million и отдельный OSS bounty. Через VIP HackerOne за годы приватки подключили тысячи исследователей; security engineering обкатала процесс на этих челленджах и закрытом потоке. Что в охвате Детали по целям , на странице Scope программы на HackerOne. Новые баги в open source отправляют в основную программу Vercel. все продукты платформы Vercel; open-source проекты компании; старые сабмиты в OSS-программу переносить не нужно , их доработают на месте. Как подать отчёт Страница программы на HackerOne: правила, выплаты и гайдлайны. В отчёте , чёткие шаги воспроизведения; команда ведёт раскрытие с исследователем и обещает быстрые ответы. Перед публичным запуском ускорили разбор сабмитов, выпуск патчей и проверку фиксов после релиза. Источник: The Vercel Bug Bounty Program is now publicly available .