安全漏洞收集策略

在平凯星辰，我们非常重视产品与服务相关的安全问题。如果您在使用或测试我们的产品与服务时发现安全漏洞，我们鼓励您尽快报告给我们的安全团队，以帮助平凯数据库/TiDB 提升产品与服务的安全性，为所有用户提供更好的安全保障。

适用范围

本策略适用于平凯星辰的核心开源产品以及对外提供的互联网应用，包括但不限于：pingkai.cn 等站点，以及与平凯数据库/TiDB 产品直接相关的组件，例如 TiKV、TiDB、TiFlash、PD 等。

行为准则

我们鼓励安全研究人员积极发现并报告我们产品与服务中的安全漏洞。同时，我们希望您的行为遵守以下准则：

不要利用安全漏洞进行超出最小验证范围的利用；
不要进行拒绝服务（DoS 或 DDoS）测试；
不要进行物理测试、近源攻击、社会工程学测试或其他非技术类漏洞测试；
未经事先授权，不要提取、获取、复制、下载或使用我方信息系统中存储的任何数据。如果您在测试过程中发现用户身份信息、订单信息、银行卡信息或业务数据等敏感数据，请立即停止测试并马上联系我们；
在任何情况下，都不要向没有知情必要的一方披露在漏洞测试过程中获得的任何信息；
我们不容忍任何以漏洞测试为名实施的破坏行为，尤其是利用安全漏洞损害平凯星辰产品、服务或平凯星辰用户利益的行为。对于此类行为，我们将行使追究一切刑事与民事法律责任的权利。

漏洞提交流程

提交漏洞

您可以通过 security@pingcap.cn 向平凯数据库/TiDB 安全团队报告漏洞。请尽量按照以下格式提供尽可能多的漏洞信息（* 表示必填项）：

漏洞标题*：
危害说明*：
受影响的组件和版本号*：
CVE 编号（如果有）：
复现漏洞的步骤与脚本*：
联系信息*：
修复建议*：

漏洞修复

风险确认后，安全团队会通知业务部门尽快处理该安全问题。修复周期取决于漏洞的严重程度以及解决难度。

漏洞评级标准

漏洞将按其严重程度进行评级：严重（Critical）、高危（High）、中危（Medium）、低危（Low）和忽略（Ignored）。每个等级对应不同的基础分值区间。

本规则仅供参考，漏洞的最终评分将综合影响范围、实际可利用性、报告详细程度、报告人在复测过程中的配合程度以及修复的可行性等因素确定。平凯星辰保留最终解释权。

严重（Critical）

直接获取系统权限（服务端权限）：例如远程命令执行、任意代码执行、上传 WebShell、通过 SQL 注入获取系统权限、缓冲区溢出等可远程访问系统、容器或 POD 的漏洞。
严重敏感信息泄露：例如核心数据库的 SQL 注入漏洞、未授权访问核心数据库中的资金、用户身份等敏感数据，导致敏感信息大规模泄露。
核心系统服务拒绝服务（DoS）：例如直接导致核心 API 服务或 TiDB 组件不可用的漏洞。
严重逻辑与流程缺陷：例如任意账号登录、账号接管、批量修改任意账号密码、任意金额支付等严重问题。

高危（High）

未授权访问敏感信息：例如绕过认证直接进入管理后台，修改大量敏感前端数据；或利用弱口令/SSRF 获取云上内部敏感信息。
敏感信息泄露：例如通过目录遍历、非核心数据库 SQL 注入、源码泄露、硬编码密钥或密码等导致敏感数据泄露的漏洞。
未授权的敏感操作：例如未授权访问敏感用户信息。
影响核心业务的漏洞：例如在重要页面之间传播的存储型 XSS，或可利用存储型 XSS 获取管理员凭据。

中危（Medium）

需要交互才能影响用户的漏洞：例如一般业务中的反射型 XSS、重要操作中的 CSRF。
非关键信息泄露：包括但不限于 GitHub 上泄露非关键的平凯数据库/TiDB 内部信息。
轻微的未授权操作：包括但不限于未授权查询租户 ID、未授权查询集群 ID 等非敏感功能越权。
正常的逻辑设计与流程缺陷导致的安全风险：包括但不限于绕过短信验证或邮箱验证。

低危（Low）

轻微信息泄露：包括但不限于 git 泄露非敏感信息、调试页面泄露、无潜在危害的服务器配置信息泄露。
拒绝服务漏洞：包括但不限于客户端组件权限暴露等问题导致的服务器或客户端本地 DoS 漏洞。
难以利用但确实存在的安全风险：包括但不限于难以利用的 SQL 注入点、反射型 XSS、普通操作中的 CSRF。
其他低影响漏洞：包括但不限于非交互式任意 URL 跳转。

忽略（Ignored）

已被其他白帽或公司内部发现并确认的漏洞。
基于用户假设的问题、未经证实的问题或无意义的扫描报告。
社会工程学攻击、近源攻击、物理攻击。
缺少 HTTP 安全响应头，或要求启用特定 HTTP 方法的问题。
邮箱 SPF 配置问题。
针对任何 API 接口的暴力破解。
网站页面点击劫持。
HTML 内容注入。
robots.txt 文件泄露。
邮箱伪造。
页面报错信息。
Golang 或 JavaScript 函数报错。
API 接口缺少限流。
非敏感文件泄露。
导致 DoS 的 DDoS 或 HTTP 洪水攻击。
服务器版本信息泄露。
弱密码策略或数据库哈希加盐问题。
SSL/TLS 版本过旧。
无法验证或无法复现的第三方组件漏洞。

奖励规则

漏洞奖励的最终金额将根据以下因素确定：

业务重要性：漏洞是否影响核心业务系统，核心业务对整体系统或服务的运行至关重要。
漏洞严重程度：漏洞的严重等级，例如是否可能导致数据泄露或关键逻辑设计缺陷。
修复可行性：提交者是否提供了清晰、可执行的修复建议，便于快速解决漏洞。

我们力求以公平、透明的方式发放奖励，以鼓励参与并提升产品安全性。但在特殊情况下（例如重复报告、不符合有效性标准的报告，或不满足奖励条件的报告），我们保留决定是否发放奖励的权利。

业务分类

核心业务：与平凯数据库/TiDB 产品直接相关的核心站点与核心组件。
一般业务：核心产品以外的在线站点与组件。

奖励明细

漏洞等级	业务类型	奖励
严重（Critical）	核心业务	¥18,000 – ¥36,000
高危（High）	核心业务	¥7,200 – ¥18,000
高危（High）	一般业务	¥2,160 – ¥8,640
中危（Medium）	核心业务	¥1,800 – ¥7,200
中危（Medium）	一般业务	¥864 – ¥3,600
低危（Low）	核心业务	¥720
低危（Low）	一般业务	¥360

保密原则

我们非常感谢您提供关于任何实际或潜在安全漏洞的信息。为尽量减少过早公开披露带来的不良后果，并遵守法律要求，我们恳请您遵守以下准则：

在平凯数据库/TiDB 发布补丁之前，不得对外或向第三方披露该漏洞：在平凯数据库/TiDB 相关方收到信息、完成漏洞处理并到达约定的披露日期之前，不应公开漏洞信息。披露时间取决于漏洞性质和所需的解决时间，并应在评估后讨论并达成一致。
不要披露漏洞的详细信息（例如利用代码），以防漏洞信息被不当使用。
遵守知识产权保护的法律法规以及保密协议。

联系方式

如果您对本策略有任何疑问，或在漏洞处理、评估或奖励规则过程中有任何争议，请通过 security@pingcap.cn 与我们联系。