LemFi漏洞披露政策

介绍

在 LemFi，我们致力于提升安全防护能力。本漏洞披露政策由 Pomelo Technology US Inc.（注册地址：251 Little Falls Drive, Wilmington, DE 19808, USA）发布，适用于该公司及其集团公司和子公司（以下统称“LemFi”、“我们”或“我们的”）。我们欢迎安全研究人员和公众的反馈。如果您认为您发现了与我们资产相关的漏洞、隐私问题、数据泄露或其他任何安全问题，请按照以下政策与我们联系。

系统范围

本政策适用于 LemFi 拥有、运营或维护的以下数字资产。

纳入范围的资产：

超出范围

在超出范围的系统中发现或怀疑存在的漏洞应报告给相应的供应商或相关机构。

以下内容超出本政策范围，不得进行测试：

上述“系统范围”中未明确列出的任何系统、资产、基础设施或服务；
第三方拥有、运营或托管的基础设施、软件或服务（包括我们的支付、KYC、银行、云和其他供应商），即使用于提供我们的服务；
沙箱、预发布、测试、预生产和演示环境；
LemFi 公司 IT 系统、内部网络、员工帐户和电子邮件或消息系统；
LemFi 的营销落地页、社交媒体账号和客户支持渠道；
LemFi 任何场所或人员的人身安全。

以下几类问题超出本报告范围，不予受理：

对 LemFi 员工、承包商、客户或合作伙伴进行社交工程、网络钓鱼或任何借口攻击；
拒绝服务或容量测试，包括压力测试、负载测试和资源耗尽测试；
需要对设备进行 root、越狱或其他方式的入侵，或者使用过时的浏览器或操作系统才能进行调查；
缺少安全标头、弱密码、证书配置问题以及类似的最佳实践发现，但没有证明其对安全造成影响；
自 XSS、在未进行敏感操作的页面上进行点击劫持以及其他缺乏有效概念验证的理论问题；
除非你能证明第三方软件或库中的漏洞会对 LemFi 范围内的资产造成可利用的影响，否则不得利用这些漏洞。

我们的承诺

如果您与我们合作时遵守本政策，您可以期待我们：

及时回复您的报告，并与您合作了解和验证您的报告；
在漏洞处理过程中，我们会及时向您通报进展情况；
在运营限制范围内，及时修复已发现的漏洞；
将安全港扩展至与本策略相关的漏洞研究。

这项政策得到了我们合作伙伴 Inspectiv 的支持，他们将负责对有效的漏洞进行分类。对于被认定为真实漏洞的报告，Inspectiv 将代表我们向研究人员支付奖金，奖金金额已包含在他们的平台内。

我们的期望

为了真诚地参与我们的漏洞披露计划，我们要求您：

遵守规则，包括遵守本政策及任何其他相关协议。如果本政策与我们的服务条款或可接受使用政策在根据本政策进行的授权安全研究方面存在任何不一致之处，则以本政策为准；
如发现任何漏洞，请立即报告；
避免侵犯他人隐私、扰乱我们的系统、破坏数据和/或损害用户体验；
避免进行容量测试或可能导致服务中断的测试；
请仅使用官方渠道（如下所述）与我们讨论漏洞信息；
从首次报告之日起，请给我们一段合理的时间（至少 90 天，或者如果补救需要更多时间，我们可能以书面形式合理要求的更长时间）来解决问题，然后再公开披露该问题，并且在此期限届满且漏洞得到补救之前，请严格保密该报告以及您在研究过程中获得的任何信息；
只对范围内的系统进行测试，尊重范围外的系统和活动；
不得进行违反任何适用法律或法规的测试，也不得干扰或损害任何不属于您的数据；
如果漏洞导致意外访问数据：请将您访问的数据量限制在有效演示概念验证所需的最低限度；如果在测试过程中遇到任何用户数据，例如个人身份信息 (PII)、个人数据（根据英国和欧盟/欧洲经济区《通用数据保护条例》的定义）、信用卡数据或专有信息，请立即停止测试并提交报告。您不得出于任何目的保留、复制、存储、传输、披露、出售或以其他方式使用任何此类数据，并且必须在以下两者中较早发生时安全地删除或销毁此类数据（及其任何副本）：(a) 我们书面要求；(b) 确认漏洞已修复。
您只能与自己拥有的测试账号互动，或者在获得账号持有人的明确许可后才能进行互动；
不要参与敲诈勒索；
您本人并非，且并非代表以下任何人士行事：(i) 位于、通常居住或组织于任何受英国、欧盟、美国（外国资产控制办公室）或联合国实施全面制裁的国家或地区；或 (ii) 被列入上述任何机构维护的任何制裁或限制名单。

奖励

VDP 提交不符合 Inspectiv 的赏金支付条件，请访问 https://app.inspectiv.com/ 查看我们当前的漏洞赏金计划。

官方频道

请在此处报告安全问题：https://client.inspectiv.com/vdp/lemfi/submit-report

请提供所有相关信息。您提供的细节越多，我们就越容易对问题进行分类和解决。

如果您在我们的平台上提交漏洞报告时遇到任何问题，请联系 programs@inspectiv.com，我们将通过电子邮件处理您的提交。请不要直接联系我们的客户，他们会将您转回给我们。

安全港

当您进行漏洞研究并遵守本政策时，我们认为该漏洞研究属于：

为遵守适用的反黑客法律而进行的授权研究，对于您无意中、出于善意违反本政策的行为，我们不会提起或支持对您采取法律行动；
为遵守相关反规避法律而进行的授权研究，我们不会就您规避技术控制的行为对您提起诉讼；
不受我们的服务条款（TOS）和/或可接受使用政策（AUP）中可能干扰安全研究的限制，并且我们在有限的基础上放弃这些限制；
合法、有助于互联网整体安全，并且出于善意而进行。

您一如既往地需要遵守所有适用的法律。如果第三方对您提起诉讼，而您已遵守本政策，我们将采取措施表明您的行为符合本政策。反之，如果您未遵守本政策，我们也会予以说明。

如果您在任何时候对安全研究是否符合本政策有任何疑虑或不确定，请在继续进行任何操作之前，通过我们的官方渠道之一提交报告。

请注意，“安全港”条款仅适用于参与本政策的机构控制范围内的法律诉讼，对独立的第三方不具有约束力。尤其需要指出的是，本政策不阻止任何检控机构依据任何公法（包括英国的《1990 年计算机滥用法》）提起诉讼；我们承诺，如果您已遵守本政策，LemFi 本身不会对您提起或支持此类诉讼。

权利保留。若行为违反本政策及适用法律，我们保留提起或支持法律诉讼以及通知相关部门的权利。本政策中的任何内容均不限制我们享有的其他权利或补救措施。

适用法律。本保单及由此产生或与之相关的任何非合同义务均受英格兰和威尔士法律管辖，英格兰和威尔士法院对因本保单产生或与之相关的任何争议拥有专属管辖权。