负责任的披露
政策

如何报告

请通过电子邮件报告漏洞： security@colitu.com. 请勿公开发布，也不要通过支持工单或社交媒体报告。

请在你的报告中包含：

• 受影响的内容：域名、应用及其版本号，或服务器地址。
• 对问题及其可能影响的简短描述。
• 复现步骤，如有可能，请附上概念验证（截图、示例请求和响应）。
• 我们如何联系你，以及你是否希望在致谢名单中署名。

如果你需要更安全的沟通方式，请在第一封邮件中说明，我们会一起找到合适的方式。

范围

以下范围内的漏洞属于受理范围：

• colitu.com 及其所有子域名
• api.colitu.com（应用使用的 API）
• Windows、Linux、Android 和 iOS 应用
• 浏览器扩展
• VPN 服务器上可公开访问的服务（暴露在互联网上的连接端口、探测端点和网络服务）

范围之外

我们不接受以下方面的报告：

• 拒绝服务 (DoS) 和压力测试
• 社会工程（包括针对员工或用户的网络钓鱼）
• 物理攻击
• 垃圾邮件和未经请求的电子邮件
• 第三方服务中的发现（例如托管、支付和电子邮件服务提供商）
• 没有证明实际影响的自动化扫描器输出
• 本身没有影响的发现，例如缺少速率限制

规则

• 除证明问题所需的数据外，请勿访问其他数据；请勿下载、修改或删除数据。
• 请勿访问其他用户的账户。请使用你自己的账户进行测试。
• 请勿以会干扰服务的频率发送请求。
• 请给我们 90 天时间修复问题。在此期限届满之前，或在我们达成一致之前，请勿公开细节。
• 请勿将漏洞用作讨价还价的筹码或施压的手段。

安全港

对于你出于善意并在这些规则范围内进行的研究，我们视为已获授权。对于遵守这些规则的研究，COLITU LIMITED 不会对你采取法律行动。超出规则范围的行为不在此承诺涵盖范围内。

响应时间

确认收到你的报告

3 个工作日

初步评估（严重程度和范围）

10 个工作日

修复目标：严重

7 天

修复目标：高危

30 天

修复目标：中等

90 天

这些时间是目标。如果复杂的问题需要更多时间，我们会告诉你原因。

奖励与致谢

我们目前不支付漏洞赏金。对于我们修复的有效报告，经你许可，我们会在下方致谢名单中列出你的姓名或昵称。

致谢

暂无条目。