漏洞管理程序
如何接收潜在漏洞报告、确定优先级、修复与验证。
识别与受理
潜在漏洞可通过开发审查、测试、依赖项安全公告或用户与研究人员报告发现。应记录受影响组件、相关版本或变更、证据及潜在影响。如果最小化的非敏感示例足以展示问题，报告不得包含真实客户数据。
验证与风险评估
验证所报告行为，并评估可利用性、暴露程度、所需权限及对客户的影响。优先处理未授权访问、跨公司数据泄露、凭据泄露或正在被利用的问题。获得新证据时重新评估优先级。
修复
选择与风险相称的修复或临时缓解措施，指定负责人、跟踪问题并审查变更的副作用。涉及第三方组件时，应考虑可用安全更新、配置变更或移除受影响功能。未经验证的变通方案不得视为已完成修复。
验证与关闭
验证修复解决原问题且未引入明显回归。记录结果及仍存在的限制。只有在修复或认可的缓解措施经过验证后，才能关闭问题。后续证据表明风险仍存在时，应重新开展调查。
负责任地报告
请通过我们的联系渠道私下报告漏洞，并在公开披露前留出协调空间。不得访问其他客户信息、干扰服务，或在发现意外访问权限后继续测试。本政策不授权侵入式测试，也不构成漏洞奖励计划。
安全问题与报告
如怀疑存在安全问题或对这些政策有疑问，请联系 XtraCRM。请简要说明问题及受影响的服务，不要提供密码、访问令牌或不必要的个人信息。
联系 XtraCRM →