漏洞披露政策 - VulnCheck

最后修订日期：2026年3月6日

我们的漏洞披露政策有两个目标：

1. 确保厂商有合理的时间来解决报告的问题；
2. 向安全社区和受影响的用户提供诚实、有用且可执行的漏洞信息。

我们相信，通过实践协调披露，我们可以实现这些目标。我们的协调披露流程如下：

1. VulnCheck 将联系受影响的厂商，提供漏洞详情，并给予其 120 天 的期限来修复问题或发布通告。
2. VulnCheck 可能会向客户提供漏洞详情，以便他们在官方补丁发布前采取防御措施。
3. VulnCheck 将与厂商保持定期联系，以协调发布协调通告的日期。
4. 当厂商发布补丁或通告的同一天，VulnCheck 将发布第三方漏洞通告。
5. 如果 120 天期限 结束后厂商仍未发布补丁或通告，VulnCheck 将发布未协调的第三方漏洞通告。

以下是我们流程中的一些附加说明：

1. 不会提供任何延期；
2. VulnCheck 会将_任何_发布的补丁视为公开披露；
3. 所有沟通将仅通过电子邮件进行；
4. VulnCheck 不会参与禁止公开披露或以任何方式试图控制 VulnCheck 工作的漏洞披露项目。
5. 如果供应商声明他们不打算修复或发布针对已报告漏洞的公告，则协调披露时间表可能不再适用。

还有一个重要的例外情况：

1. 如果 VulnCheck 确认该漏洞正在被实际利用，披露期限将从 120 天缩短为 7 天。其目标是削弱攻击者的优势，并确保防御方能及时知情。

VulnCheck 保留根据需要偏离或修改上述流程的权利。