负责任的披露

• 请提供清晰、完整且可重现的操作步骤，以演示该问题。

• 每个报告中请仅提交一个漏洞，除非需要通过链式攻击来证明其影响。

• 重复报告将根据收到的第一份有效提交进行分类处理。

• 由同一根本原因导致的多个漏洞将被视为一份报告。

• 禁止进行社会工程学攻击（例如网络钓鱼、语音钓鱼、短信钓鱼）。

• 请秉持善意行事——避免侵犯隐私、破坏数据或导致服务中断。仅对您拥有或已获得明确使用权限的账户进行测试。

在报告漏洞时，请同时考虑其可利用性和安全影响。以下问题不在报告范围内：

• 在没有敏感操作的页面上进行点击劫持。

• 在未经身份验证的表单或不涉及敏感操作的表单上存在跨站请求伪造（CSRF）漏洞。

• 需要采取“中间人”（MITM）攻击方式或物理接触用户设备的攻击。

• 关于已知存在漏洞但尚无有效概念验证（PoC）的库的报告。

• 逗号分隔值（CSV）注入，但尚未证实可被利用。

• 缺少 SSL/TLS 最佳实践配置。

• 任何可能影响服务可用性的活动（包括拒绝服务（DoS）情况）。

• 在没有有效攻击途径或无法修改 HTML/CSS 的情况下，进行内容伪造或文本注入。

• 针对无需身份验证的端点的速率限制或暴力攻击问题。

• 缺少内容安全策略（CSP）的最佳实践。

• Cookie 中缺少 HttpOnly 或 Secure 标志。

• 电子邮件配置中的最佳实践问题（例如，SPF、DKIM 或 DMARC 记录不完整或缺失）

• 仅影响过时或未打补丁的浏览器（落后两个以上稳定版本）的问题。

• 软件版本信息、横幅标识，或描述性错误消息或标题（例如堆栈跟踪、应用程序或服务器错误）。

• Tabnabbing。

• 未造成其他已证实安全影响的开放重定向。

• 需要用户进行不太可能或极不切实际的交互的问题。