协调漏洞披露政策

为什么制定本政策

安全始终是我们产品开发和维护工作的重要组成部分。

我们欢迎客户、安全研究人员以及其他任何发现潜在漏洞的人，以负责任的方式向我们披露安全风险和产品漏洞。

本政策说明如何报告影响 TeamDev 产品的安全漏洞、我们将如何处理您提供的信息，以及在收到报告后您可以期待我们作出怎样的回应。

本政策适用范围

本政策适用于以下 TeamDev 产品，以及这些产品中使用的第三方组件：

• JxBrowser；
• DotNetBrowser；
• MōBrowser；
• JxCapture；
• ComfyJ；
• JNIWrapper。

如何报告漏洞

如需报告漏洞，请统一联系： .

提交报告时，请注明受影响的产品名称和版本，并在条件允许的情况下提供以下信息：

• 安全风险的名称，以及相关的 CWE 和 CVE 标识符；
• 问题说明和清晰的复现步骤；
• 可用于说明问题的示例；以及
• 您对该漏洞影响的评估。

建议使用英文提交报告。

在公开任何与漏洞相关的信息之前，请先向我们报告该漏洞。

后续处理流程

我们将在 3 个工作日内确认收到您的报告。

随后，我们将在 10 个工作日内向您反馈初步评估结果。

此后，在问题解决或正式关闭之前，我们将至少每 30 个工作日向您提供一次进展更新。

公开披露

修复方案发布后，我们会在官网发布安全公告，并在发行说明中进行说明。

我们希望您就公开披露的时间与我们保持协调。通常情况下，请等待我们发布修复方案，或自提交报告之日起满 90 天后再公开披露，以两者中较早发生者为准。

我们希望您遵守的规则

如果您依据本政策开展安全研究并报告漏洞，请遵守以下原则：

• 本着善意开展研究，并仅以发现和报告漏洞为目的；
• 仅使用您自己的系统、许可证和测试数据；
• 一旦确认漏洞存在，即停止进一步测试，并仅收集能够合理证明该漏洞所必需的信息；
• 避免实施任何可能损害我们的系统、客户或他人数据的行为；
• 在与我们完成披露协调之前，对漏洞相关信息严格保密。

您可以期待我们如何处理

如果您遵守本政策，我们会对您的报告予以保密，不会因您开展的相关研究对您采取法律行动，也不会将您的研究行为报告给执法机构。

第三方组件

我们的产品中包含第三方组件及其他依赖项。如果其中的漏洞会影响 TeamDev 产品，我们会将其视为影响自身产品的安全问题，并据此处理。

收到此类漏洞报告后，我们会评估其对产品的影响，与相关第三方维护方进行协调；如果用户受到影响，我们会发布安全公告，并提供第三方供应商发布的修复方案或更新。

如果暂时没有可用的修复方案，我们会采取适当措施消除或降低风险，并告知受影响用户在此期间应采取哪些应对措施。

如果我们自行开发了针对相关第三方组件的修复方案，会在适当情况下与该组件的维护方共享或协调该修复方案。

向主管机构报告

如适用法律有明确要求，我们会按照《网络韧性法案》规定的时限，向相关主管机构（包括爱沙尼亚 CSIRT（CERT-EE）和 ENISA）报告影响我们产品且正在被积极利用的漏洞，以及严重安全事件。如法律要求，我们也会通知受影响用户。

此类报告所说明的是漏洞本身，而不是漏洞报告人的身份。除非法律另有强制要求，否则我们不会向主管机构披露您的身份。