爱奇艺安全应急响应中心漏洞处理流程与评分标准(2023)规章制度

建筑律师 2025-06-05 05:39

发行版本

V4.0

本文件适用范围

适用于爱奇艺安全应急响应中心( https://security.iqiyi.com/）收到的所有涉及爱奇艺的产品和业务的安全漏洞；
爱奇艺安全应急响应中心下文简称为: 71SRC；
本文件适用于所有有关爱奇艺的产品及服务；
标准变更自2023年12月25日起生效。

基本原则

爱奇艺非常重视自身产品和业务的安全，我们承诺对每一份报告都有专人进行跟进与评估，并给予白帽子与之匹配的利益；
爱奇艺重视负责任的漏洞披露和处理过程，我们承诺对于每位恪守白帽子精神，帮助爱奇艺提升安全的用户，我们将给予感谢和回馈；
爱奇艺反对和谴责一切利用安全漏洞进行渗透、破坏、窃取和损害爱奇艺公司及其用户利益的骇客行为，包括但不限于利用漏洞盗取用户隐私、账号、虚拟财产、入侵业务系统、窃取数据、恶意传播漏洞等。更谴责一切利用安全漏洞进行炒作、恐吓、勒索和攻击竞争对手的行为；
如您对本流程有任何建议或疑问，欢迎通过邮箱 71src@qiyi.com 向我们反馈，我们承诺对每一份反馈都认真对待，及时跟进并分析与处理，建议经采纳后，71SRC将送出一份礼品作为回馈。

漏洞处理流程

登录https://security.iqiyi.com/#submit提交漏洞
漏洞提交成功后，漏洞单状态为【未审核】
71SRC审核确认漏洞有效后，漏洞单状态为【修复中】；如漏洞无影响需忽略或重复提交，71SRC工作人员将与报告者联系或漏洞报告中留言，再将漏洞单状态更改为【已关闭】
漏洞确认后，如有疑问请及时与71SRC工作人员联系（可通过在漏洞单评论或发送邮件到 71src@qiyi.com ）
有效漏洞在修复完成后，漏洞单状态更新为【已关闭】，如白帽子在复测时发现漏洞依然存在，可再次提交。

漏洞评分标准

根据报告的漏洞的危害程度一共分为五个级别：严重、高、中、低、忽略；根据业务等级划分为核心业务、一般业务、边缘业务、合作商，下面详细描述了安全漏洞的评级标准，具体漏洞评判基本及分值以爱奇艺实际评判结果为准。

业务等级划分（包括但不限于 *.iqiyi.com、*.iq.com、*.ptqy.gitv.tv、部分*.pps.tv 等）

1. 核心业务：爱奇艺主站/主APP、passport、会员、支付、广告、TV（*.ptqy.gitv.tv）等

2. 一般业务：爱奇艺号、智能制作、国际站、随刻、奇巴布、文学等

3. 边缘业务：奇秀、爱奇艺知识、VR等

4. 合作商：新爱体育（*.ssport.com）、游戏业务（*.dsgame.iqiyi.com、*.g.pps.tv）、CDN业务（*.inter.71edge.com、d-*-cache.71edge.com）、天象互动（*.crimoon.net、*.skymoons.com）等

PS：以上业务范围于2025年6月4日更新

等级	核心业务	一般业务	边缘业务	合作方	漏洞类型（包括但不限于）
严重	3000~6000	1000~3000	600~1000	降级到高危（100~300）	1. 严重的敏感信息泄露，可影响大量用户，如：获取重要数据的SQL注入漏洞、包含重要信息的源代码泄露已经任意文件读取和下载、可获取大量用户的个人信息等敏感信息； 2. 可远程获取核心系统权限，直接危害到内网，如：任意命令执行、代码执行、任意文件上传获取webshell、可利用的缓冲区溢出等； 3. 严重的逻辑设计缺陷，如：任意账号密码修改、支付绕过漏洞、以任意人身份执行敏感操作等。
高危	400~600	200~400	100~200	降级到中危或低危（20~100）	1. 较大范围的信息泄露，如：非重要数据的SQL注入、源代码泄露、任意文件读取与下载、SSRF回显内网信息，支持多种协议等； 2. 越权访问，具有一定影响面的越权漏洞，如：后台登录弱口令、重要服务弱口令（管理员账号）、越权执行任意人的敏感操作（删除、添加等）； 3. 较大范围影响用户，如可获取大量用户信息的存储型XSS、CSRF引发的蠕虫等； 4. 直接获取客户端敏感信息的漏洞，如弱加密算法引起的敏感信息泄露、通信过程中引起的敏感信息泄露、local- storage处理不当引起的敏感信息泄露等。
中危	80~100	50~80	30~50	暂不接收	1. 需用户交互才可获取用户信息，如：jsonp敏感信息劫持、普通存储型XSS、具有较大影响的CSRF等； 2. 本地拒绝服务漏洞，如：客户端本地拒绝服务（需用户交互的命令执行、解析文件格式、网络协议产生的崩溃），组件权限导致的本地拒绝服务等； 3. 普通越权，如：越权查看非敏感信息、影响较小的设计及流程缺陷； 4. 普通信息泄露，如：轻微数据的SQL注入及难以利用的SQL注入、github泄露员工及公司的简单信息、内部服务器数据库密码、系统路径遍历、包含敏感信息的源代码压缩包泄露。
低危	20~30	10~20	5~10	暂不接收	1. 轻微信息泄露，如：重要文件的路径泄露（不包括中间件配置文件）、SVN文件泄露、无敏感信息的异常信息泄露、大量内网服务器ip泄露以及客户端应用本地SQL注入（仅泄漏数据库名称、字段名、cache内容）、日志打印、配置信息、异常信息等； 2. 监控页面信息泄露，如nginx status页面、Druid web页面、Swagger UI等。 3. 任意URL跳转漏洞； 4. 有一定影响的CSRF漏洞、反射型XSS（包括DOM-XSS）。
忽略	0	0	0	0	1. 无法影响其他用户的漏洞，如self-xss； 2. 非安全BUG，如：页面乱码、静态文件下载遍历等； 3. 无影响的漏洞，如：接口返回信息中不包含敏感信息、无敏感操作的CSRF、仅dnslog的SSRF等； 4. 无法给出漏洞利用证明的漏洞：如仅说明存在cors但未给出危害证明、猜测未给出验证的问题、无实际危害证明的扫描器结果等； 5. 内部已知漏洞、重复提交、功能报障等。