PIXLR GROUP 安全漏洞揭露政策

我們非常重視系統的安全性，並珍視用戶、貢獻者、客戶和顧客的安全。安全漏洞的揭露有助於我們確保用戶的安全和隱私。本政策旨在為安全研究人員提供明確的漏洞發現活動指南，並傳達我們對於如何向我們提交已發現漏洞的偏好。

指南

根據本政策，「研究」是指您進行以下活動：

• 在發現真實或潛在的安全問題後，盡快通知我們。
• 在安全測試期間，盡一切努力避免侵犯隱私、降低用戶體驗、干擾生產系統和破壞數據。
• 僅在確認漏洞存在所需的範圍內使用漏洞利用。不得使用漏洞利用來洩露或竊取數據、建立持久的命令行訪問權限，或使用漏洞利用來轉向其他系統。
• 不要提交大量低質量的報告和/或 CVSS 評分低於 6 的報告。
• 使用指定的溝通渠道向我們報告漏洞資訊；以及
• 在您與 PIXLR GROUP 之間對您發現的任何漏洞資訊保密，直到我們有 [90] 天的時間解決該問題。

保密性

您通過安全漏洞發現或收集的有關 PIXLR GROUP 或任何 PIXLR GROUP 用戶的任何資訊必須保密，並僅用於與我們相關的用途。一旦您確定存在漏洞或遇到任何敏感數據（包括個人身份資訊、財務資訊或任何一方的專有資訊或商業秘密），您必須停止測試，立即通知我們，並且不得向任何其他人披露此數據。

嚴格禁止訪問其他用戶的私人資訊以及執行可能對 PIXLR GROUP 用戶產生負面影響的操作。未經 PIXLR GROUP 事先書面同意，您不得使用、披露或分發任何此類機密資訊，包括但不限於有關您提交的任何資訊以及您在研究 PIXLR GROUP 網站時獲得的資訊。

測試方法

為了我們用戶和員工的安全，我們希望您避免以下行為：

• 發送垃圾郵件。
• 對 PIXLR GROUP 員工、承包商、貢獻者或客戶進行社交工程（包括網路釣魚和語音釣魚）。
• 對 PIXLR GROUP 財產或數據中心進行任何物理攻擊。
• 加密貨幣挖礦。
• 訪問或試圖訪問不屬於您的數據或資訊。
• 破壞或損壞，或試圖破壞或損壞不屬於您的數據或資訊。
• 造成或試圖造成拒絕服務（DoS/DDoS）狀況。

如果您遵循這些指南並立即向我們報告，我們承諾：

我們不會對遵守本政策並試圖在我們系統中尋找漏洞的安全研究人員採取法律行動。

報告漏洞

我們相信所有技術都包含錯誤，公眾在識別這些錯誤方面發揮著至關重要的作用。如果您認為在我們的系統或平台中發現了安全漏洞，請立即通過電子郵件發送至 Sylvester@designs.ai 向我們報告。

請在您的報告中包含以下詳細資訊：

• 漏洞位置和潛在影響的描述；
• 重現漏洞所需步驟的詳細描述（POC 腳本、螢幕截圖和壓縮的螢幕錄製對我們都很有幫助）；以及
• 您的姓名/代號
• 使用英文撰寫。

資格

我們接受基於 CVSS 4 嚴重性不低於 6 的報告。最終嚴重性可能會根據報告的漏洞對我們域名的影響進行調整。

更多關於 CVSS 4 評分的資訊：https://www.first.org/cvss/calculator/4.0

範圍內

*.designs.ai

範圍外

在報告漏洞時，您應考慮攻擊場景/可利用性以及錯誤的安全影響。以下問題被視為超出本計劃的範圍，我們不會接受以下類型的攻擊：

• 拒絕服務攻擊
• 垃圾郵件、社交工程或電子郵件釣魚技術（例如網路釣魚、語音釣魚、簡訊釣魚）
• 電子郵件欺騙
• 客戶端的任何安全漏洞（例如瀏覽器、插件）
• 軟體版本披露
• 反射文件下載
• 任何物理訪問問題
• 公開可訪問的頁面
• 任何不會導致直接漏洞的弱點或資訊披露
• 電子郵件或帳戶枚舉
• CSV 命令執行和 CSP 弱點
• 第三方應用程式或網站中的任何漏洞通常不在我們計劃的範圍內。

條款變更

PIXLR GROUP 保留隨時修改或取消該計劃及其政策的權利，無需事先通知。

因此，PIXLR GROUP 可以隨時通過在 PIXLR GROUP 網站上發布修訂版本來修改這些條款和/或其政策。如果您在條款變更後繼續參與該計劃，即表示您接受修改後的條款。