世纪佳缘JYSRC 漏洞评分规则 v1.0

公告编号:评分规则作者:xsrc_admin发布日期:2020/03/31

对于每一个级别的漏洞,我们会根据漏洞利用的技术难度、漏洞造成的影响等进行综合考虑,分成不同的层次,并给与相应积分。根据漏洞危害程度分为严重、高、中、低、忽略五个级别,每个级别涵盖的漏洞以及评分标准如下:

1【严重】

分值范围 9-10,金币系数 10。本等级包括:

1)     设计缺陷导致未经授权的跨用户数据篡改和访问;

2)     漏洞的组合、弱口令等方式,导致渗透进入内网并获取核心业务控制权限;

3)     导致获取核心业务系统权限,包括但不限于远程命令执行、任意代码执行、上传获取Webshell、SQL注入获取系统权限、缓冲区溢出等;

4)     严重敏感信息泄露或重要DB的SQL注入导致严重信息泄露(大量机密信息泄露如密码、私钥、个人隐私信息泄露等);

5)     严的逻辑设计缺陷或流程缺陷,导致关键业务的篡改。(支付金额篡改指的是成功支付篡改后的订单并生效)

2【高】

分值范围 6-8,金币系数 5。本等级包括:

1)     关键页面的CSRF、存储型XSS可导致影响大量用户的漏洞等;

2)     高风险的信息泄露,包括但不限于可以获取一般数据的 SQL 注入漏洞、源代码泄露以及任意文件读取和下载漏洞等;

3)     越权访问,包括但不限于绕过验证直接访问后台、后台登录弱口令、以及其他服务的弱口令等。

3【中】

分值范围 3-5,金币系数2。本等级包括:

1)     需要条件才能获取用户身份信息的漏洞(如交互)。包括但不限于JSON Hijacking、CSRF、普通业务的存储型 XSS;

2)     本地拒绝服务漏洞。包括但不限于客户端本地拒绝服务(解析文件格式、网络协议产生的崩溃);

3)     普通的信息泄露,包括但不限于包括可以轻微数据的SQL注入和难以利用的SQL注入,客户端用户名密码明文存储,以及网络明文密码传输;

4)     普通的越权操作以及设计缺陷和流程缺陷。

4【低】

分值范围 1-2,金币系数 1。本等级包括:

1)     轻微的信息泄露,包括但不限于路径泄露、SVN文件泄露、PHPinfo、异常信息泄露,以及客户端应用本地SQL注入(仅泄漏数据库名称、字段名、cache内容)、日志打印、配置信息、异常信息等;

2)     参数过滤不严导致不安全的URL跳转漏洞;

3)     确定的安全隐患但是难以利用的漏洞,包括但不限于难以利用的SQL注入点、需构造部分参数且有影响较小的CSRF、轻微信息泄露的JSONP Hijacking等 ;

4)  反射型 XSS(包括反射型 DOM-XSS)

5【无】

分值范围 0,本等级包括:

1)     无法影响其他用户的漏洞包括但不限于self-xss;

2)     无法利用的漏洞,包括但不限于版本过低;

3)     无关安全的BUG,包括但不限于功能无法使用等;

4)     无法重现的漏洞。只有“简要概述”,不能直接体现漏洞的其他问题。包括纯属用户猜测、未经验证的问题。以及无实际危害证明的扫描器结果 ;

6【双倍积分】

能够危害用户的个人数据安全,并且能够给出详细的漏洞利用细节的漏洞一经确认,会在原有积分基础上双倍。漏洞严重级别保持不变。