漏洞赏金计划

请发邮件至 security@getcyril.com。

请在报告中写明：

• 对漏洞及其潜在影响的清晰描述
• 逐步的复现步骤，最好附上一个最小化的概念验证
• 受影响的 URL、端点，以及所需的账号上下文
• 你估计的 CVSS 分值与严重级别（必要时我们会调整）
• 是否希望获得公开致谢，以及署名用什么

我们会在 2 个工作日内确认收到。如果在这个期限内没有收到回复，请再发一次——你的邮件可能被过滤掉了。

只要你出于善意并遵守本政策，Cyril 即视你的研究为获得授权的行为。我们不会对你采取法律行动——包括依据英国《1990 年计算机滥用法》、美国《计算机欺诈和滥用法》或其他司法辖区的类似立法——并且在必要时，我们会与我们的次级处理方以及执法机关配合，以支撑这项保护。

作为交换，你承诺：

• 一旦确认漏洞存在就停止测试——不要导出超过证明影响所必需的最少数据。
• 不访问、修改或销毁属于其他用户或组织的数据。
• 不中断其他用户的服务。
• 在我们有合理机会修复之前，不公开披露该漏洞（通常为 90 天，复杂修复可书面约定延期）。
• 遵守所有适用法律。

Cyril 目前的计划是只致谢、不付酬。在修复上线并经过合理的披露窗口之后，我们会在征得你同意的前提下，在本页公开致谢报告者。

随着平台成熟，我们正在评估现金赏金。它上线时，这里会出现奖励表，明确列出各严重级别的最低金额和合格漏洞的判定规则——而在此之前提交过合格报告的研究人员，会获得追溯补偿。