安全政策

我们非常重视 YourImageShare 以及所有使用者的安全。如果您发现了安全漏洞,感谢您告诉我们。本页说明如何报告漏洞、您可以期待我们怎么做,以及安全测试的规则。

1. 如何报告漏洞

请发送邮件至 [email protected],或使用联系表单,并在主题开头注明“Security”。在漏洞修复之前,请不要在公开场合(GitHub issues、评论、社交媒体)报告漏洞。

请提供以下信息:

• 对问题的描述,以及攻击者可能利用它做什么;
• 复现问题所需的准确步骤、URL 和请求(欢迎提供概念验证);
• 受影响的部分:网站页面、API 接口、浏览器扩展、WordPress 插件、SDK、机器人;
• 如果需要,您希望如何署名致谢。

我们的机器可读联系信息见 /.well-known/security.txt。

2. 您可以期待我们做什么

• 确认收到:5 个工作日内。
• 初步评估(我们能否复现以及严重程度):10 个工作日内。
• 修复或进展更新:90 天内。严重问题我们会尽快修复,通常会快得多。
• 协调披露。请在问题修复后,或在 90 天期限届满后,再公开细节。我们很乐意与您商定一个日期。

我们是一个小团队。我们会及时向您通报进展,不会忽视任何有效的报告。

3. 安全港

只要您善意地遵守本政策,我们就视您的研究为已获授权。我们不会因此对您采取法律行动,也不会向执法部门举报您,更不会因此封禁您的账号。如果第三方因您遵循本政策所做的研究而对您采取法律行动,我们会公开说明您的工作是经过授权的。

善意是指您:

• 只使用自己的账号和自己上传的内容进行测试,或使用您已获许可的账号;
• 一旦接触到他人的数据(上传内容、账号信息、消息)就立即停止,不保留也不分享这些数据,并告诉我们您访问了什么;
• 不影响他人使用服务(不进行拒绝服务攻击、不进行大流量自动化扫描、不发送垃圾信息);
• 不对我们的员工、用户或服务提供商使用社会工程、网络钓鱼或物理攻击;
• 在披露之前给我们合理的时间修复问题;
• 无论出于何种原因,绝不上传非法内容,包括儿童性虐待材料。

如果您不确定某种做法是否被允许,请先发邮件至 [email protected] 询问。

4. 范围内

• yourimageshare.com 及其子域名(例如 i.yourimageshare.com 和 status.yourimageshare.com);
• 公开的上传 API、其文档,以及我们官方的 SDK 和 MCP 服务器;
• 我们的浏览器扩展、WordPress 插件和 Telegram 机器人。

我们希望了解的问题示例:账号接管、身份验证或授权绕过、访问他人的私密或受密码保护的上传内容、影响其他用户的跨站脚本攻击(XSS)、针对会修改数据的操作的跨站请求伪造(CSRF)、服务器端请求伪造(SSRF)、注入、远程代码执行,以及上传文件处理方式中的问题。

5. 范围外

除非您能证明对用户有真实影响,否则以下情况不视为漏洞:

• 缺少或未采用“最佳实践”的 HTTP 头、Cookie 标志或 TLS 设置,但没有可行的攻击方式;
• SPF、DKIM 或 DMARC 配置方面的报告;
• 在不含敏感操作的页面上的点击劫持;
• self-XSS,或需要完全控制受害者设备或浏览器才能实施的攻击;
• 公开页面上的速率限制,以及通过公开个人资料枚举用户名或电子邮件;
• 自动化扫描器生成、但没有经确认且可复现问题的报告;
• 拒绝服务攻击。

6. 非法或滥用内容不属于安全报告

如需举报非法、滥用或违反我们条款与条件的上传内容,请使用该内容上的举报按钮或我们的举报表单。此类举报由我们的审核团队处理,而不是通过安全邮箱。

7. 奖励与致谢

我们不提供付费漏洞赏金。经您许可,我们会在下方的致谢名单以及修复版本的发布说明中以您的姓名(或昵称)致谢。

8. 致谢

感谢以下人士负责任地报告安全问题:

• 暂无已署名的报告。