Znalezienie błędu w skrypcie, kogo powiadomić, czy można żądać wynagrodzenia Opcje

[phpion]

Witam,
aktualnie mam styczność z pewnym skryptem, który jest masowo sprzedawany m.in. na Allegro. Przypadkowo w kodzie trafiłem na oznakę, że możliwe byłoby przejęcie praw administracyjnych nad serwisem przez dowolnego użytkownika. Sprawdziłem na testowym serwisie przy którym pracuję - faktycznie (IMG:style_emoticons/default/smile.gif)

Moje pytanie: kogo mam o tym fakcie powiadomić? Z jednej strony mógłbym firmę X, która napisała system. Z drugiej strony - mogę powiadamiać bezpośrednio serwisy, które stoją na tym skrypcie. Jak wygląda to od strony prawnej? Czy mogę żądać wynagrodzenia za udostępnienie informacji o błędzie (autorowi skryptu) lub naprawę dziury (serwisom)?

Pozdrawiam,
pion

PS: Kojarzy mi się, że był już podobny wątek, ale wyszukiwarka odmawia posłuszeństwa.

[nospor]

@pyro jeśli dobrze Cię zrozumiałem to mogę legalnie i bezkarnie napisać:
Skrypt X firmy Y jest podatny na atak SQLInjection. Na potwierdzenie moich słów proszę wejść na stronę Z i tu i tu wpisać taki ciąg znaków.

Dobrze zrozumiałem?
I nawet jeśli każdy w tym momencie będzie mógł pobrać praktycznie dowolne dane z bazy, na której stoi skrypt, to nadal ja za to nie beknę? Jakoś nie chce mi się w to wierzyć, musiałem Cię źle zrozumieć (IMG:style_emoticons/default/smile.gif)

[pyro]

@pyro jeśli dobrze Cię zrozumiałem to mogę legalnie i bezkarnie napisać:
Skrypt X firmy Y jest podatny na atak SQLInjection. Na potwierdzenie moich słów proszę wejść na stronę Z i tu i tu wpisać taki ciąg znaków.

Tego na czerwono nie możesz napisać. Namawiasz ludzi do ataku na cudzą stronę (IMG:style_emoticons/default/tongue.gif)

Zajrzyj na exploit-db.com i zobacz jak ludzie piszą. Przykładowo:

Kod

Acme Script <= 1.5 SQL Injection Vulnerability
Exploit: http://xyz.com/profile.php?id=[sql]