漏洞赏金
计划

流程

1. 发现使用您自己的账户，在范围内的位置发现安全漏洞。
2. 提交请在账户的“安全报告”页面以文字提交：是什么、如何复现、有什么影响。
3. 获得奖励我们会审核，必要时与您联系；如果有效，我们会根据严重程度把奖励添加到您的账户或支付给您。

范围

以下范围内的漏洞属于受理范围：

• colitu.com、app.colitu.com 和 api.colitu.com
• docs.colitu.com（帮助中心）
• Windows、Android、Linux 和 iOS 应用
• 浏览器扩展
• VPN 协议配置与泄露（IP、DNS 或流量信息泄露）

范围之外

我们不接受以下方面的报告：

• 拒绝服务 (DoS) 和压力测试
• 干扰线上服务器或其他用户的测试
• 社会工程
• 物理攻击
• 垃圾信息
• 第三方服务（如支付、电子邮件和 CDN 服务商）
• 没有证明实际影响的扫描器输出
• 没有实际影响的缺失安全头或最佳实践建议
• 自我 XSS（self-XSS）
• 仅涉及缺少速率限制的报告
• 已知问题

规则

• 只使用您自己的账户测试；不要触碰其他用户的账户或数据。
• 到概念验证为止：只做到足以说明问题，不要再进一步。
• 请勿导出数据（不要下载、复制或保存）。
• 请给我们 90 天时间修复；在此期限届满前或未经我们同意，请勿公开细节。
• 第一份有效报告获奖；之后就同一问题提交的报告视为重复。
• 每份报告只描述一个问题。

安全港

对于你出于善意并在这些规则范围内进行的研究，我们视为已获授权。对于遵守这些规则的研究，COLITU LIMITED 不会对你采取法律行动。超出规则范围的行为不在此承诺涵盖范围内。 负责任披露政策 →

奖励

严重程度由我们确定；您填写的只是建议。Pro 奖励会添加到您的账户。严重漏洞的金额由我们根据影响确定，并在报告的往来消息中告诉您；我们不会事先承诺固定数额。

• 低1 个月 Pro

  影响有限、难以利用或需要用户交互。

  • 泄露非敏感信息。
  • 需要用户交互的轻微逻辑缺陷。
• 中3 个月 Pro

  对某个用户的数据或操作有一定影响。

  • 账户页面上的存储型 XSS（其他用户可见）。
  • 查看其他用户的部分数据。
• 高12 个月 Pro

  可访问其他账户的数据、VPN 凭据或套餐权益。

  • 访问其他用户的账户或 VPN 凭据。
  • 绕过付款或套餐校验，免费获得 Pro。
• 严重现金奖励

  可被远程利用，并影响整个系统或所有用户。

  • 无需身份验证的远程代码执行。
  • 访问所有用户数据，或破坏我们“不记录日志”承诺的泄露。

名人堂

对于被采纳的报告，如您提出，您选择的名称会在此公开。

暂无条目。