負責任的披露

• 請提供清晰、完整且可重現的步驟，以說明該問題。

• 每份報告請僅提交一項漏洞，除非需要透過鏈式攻擊來證明其影響。

• 重複的報告將根據收到的第一份有效提交進行分流處理。

• 由單一根本問題所導致的多個漏洞，將被視為一份報告。

• 禁止進行社會工程學攻擊（例如：網路釣魚、語音釣魚、簡訊釣魚）。

• 請秉持善意行事——避免侵犯隱私、破壞資料或造成服務中斷。僅可針對您擁有或已獲得明確授權使用的帳戶進行測試。

在回報漏洞時，請同時考量其可利用性與安全影響。以下問題不屬於本規範範圍：

• 在沒有敏感操作的頁面中發生點擊劫持。

• 未經身份驗證的表單或不涉及敏感操作的表單中存在跨站請求偽造（CSRF）漏洞。

• 需要採取「中間人」（MITM）攻擊位置，或需實體存取使用者裝置的攻擊。

• 關於已知存在漏洞但尚未有可運作的概念驗證（PoC）的函式庫之報告。

• 逗號分隔值（CSV）注入漏洞，目前尚未證實可被利用。

• 缺少 SSL/TLS 最佳實務設定。

• 任何可能影響服務可用性的活動（包括 DoS 情境）。

• 在缺乏可行攻擊向量或無法修改 HTML/CSS 的情況下，進行內容偽造或文字注入。

• 針對無需驗證的端點，需考量速率限制或暴力破解的問題。

• 缺少內容安全政策（CSP）的最佳實務。

• Cookie 中缺少 HttpOnly 或 Secure 標記。

• 電子郵件設定的最佳實務相關問題（例如：SPF、DKIM 或 DMARC 記錄不完整或缺失）

• 僅影響過時或未安裝修補程式的瀏覽器（落後兩個以上穩定版本）。

• 軟體版本資訊、橫幅標識，或描述性錯誤訊息或標題（例如：堆疊追蹤、應用程式或伺服器錯誤）。

• Tabnabbing。

• 未造成其他已證實安全影響的開放式重定向。

• 需要使用者進行不太可能或極不切實際的互動所引發的問題。