如何报告
请发邮件至 security@getcyril.com。一封邮件写清以下五项，我们第一次读就能复现问题。
请包含以下内容
- 对漏洞及其潜在影响的清晰描述
- 逐步的复现说明，最好附上最小化的概念验证
- 受影响的 URL、端点，以及所需的账号上下文
- 您估算的 CVSS 分值和严重级别（如有需要我们会调整）
- 是否希望公开致谢，以及致谢时使用的名字
我们会在 2 个工作日内确认收到。如果在此期间仍未收到回复，请重新发送——您的邮件可能被过滤了。
严重级别与响应时间
| 严重级别 | CVSS v3.1 | 示例 | 目标首次响应时间 |
|---|---|---|---|
| 严重 | 9.0–10.0 | 远程代码执行；整个数据库被攻破；跨租户数据泄露；绕过支付流程 | 24 小时 |
| 高 | 7.0–8.9 | 已认证用户的权限提升；可访问内部服务的 SSRF；单个端点的认证绕过 | 48 小时 |
| 中 | 4.0–6.9 | 已认证界面中的存储型 XSS；会改变状态的端点上的 CSRF；影响范围有限的 IDOR | 5 个工作日 |
| 低 | 0.1–3.9 | 需要受害者交互的反射型 XSS；没有滥用路径的限流缺失；信息性泄露 | 10 个工作日 |
这些是首次定级的时间，不是修复完成的时间。问题一经复现并界定范围，我们会尽快给出修复时间表。它们只是目标值：真正会守住的承诺是上面那条确认回执——无论严重级别如何，都在 2 个工作日内。Cyril 是一支小团队，没有 7×24 小时的值班轮转；与其公布一个未必总能达成的数字，我们宁愿把这一点讲清楚。
范围内
主机按实际名称列出。不在此列表中的主机，即不在范围内。
app.getcyril.com员工端应用前端api.getcyril.com公共 REST API 及 MCP 审计端点admin.getcyril.com平台管理前端portal.getcyril.com客户门户前端getcyril.com本网站，包括其线索收集和上报端点*.getcyril.com组织子域名（开放后）。不含任何带 -staging 后缀的主机，详见下文。范围外
- 针对预发布或开发环境（
*-staging.getcyril.com）的发现 - 我们依赖的第三方服务——请直接向该服务商报告
- 针对员工、客户或供应商的社会工程攻击
- 针对设施、硬件或人员的物理攻击
- 拒绝服务或流量型攻击
- 垃圾信息、网络钓鱼，或任何会联系未经同意的第三方的行为
- 只有暴力破解凭据或使用被盗令牌才能复现的问题
- 仅影响过时浏览器用户的漏洞（我们支持 Chrome、Firefox、Safari、Edge 的最近两个主要版本）
- Self-XSS、未证明影响的安全响应头缺失、没有滥用路径的限流缺失
- 仅基于自动化扫描器输出、没有可用概念验证的报告
安全港条款
只要您本着善意并遵守本政策，Cyril 即视您的研究为经授权的行为。我们不会对您追究法律责任——包括依据英国《1990 年计算机滥用法》、美国《计算机欺诈与滥用法》或其他司法管辖区类似法律的追究；必要时，我们会与次级处理方和执法机构合作，以落实这一保护。
作为回报，您承诺：
- 一旦确认漏洞即停止测试——除证明影响所需的最少数据外，不导出任何数据。
- 不访问、修改或破坏属于其他用户或组织的数据。
- 不中断其他用户的服务。
- 在我们有合理机会修复之前，不公开披露漏洞（通常为 90 天，复杂的修复可经书面同意延长）。
- 遵守所有适用法律。
致谢
Cyril 的计划目前仅提供致谢。经您同意，在修复上线且合理的披露期结束后，我们会在本页公开致谢报告者。
随着平台成熟，我们正在评估现金奖励。一旦推出，奖励表将在此公布，列明各严重级别的最低奖励和合格漏洞的认定规则——在变更前提交了符合条件报告的研究人员，也将追溯获得相应奖励。
名人堂0 位报告者
暂无公开报告。欢迎成为第一位。
安全、数据驻留和 AI 层的说明都在信任中心。
信任中心