[重要安全性通知] 发现假冒 Qfinder Pro 网站。了解详情 >
Search

安全漏洞奖励计划

QNAP 积极维护信息安全，并结合相关合作伙伴及社区的力量，确保 QNAP 产品的安全性，让用户更加安心，对产品系统及数据安全切实把关。为了感谢发现潜在安全问题并协助提升客户安全的研究人员，QNAP 将通过安全漏洞回报奖励计划给予奖金。

致谢

奖励计划适用范围

奖励计划仅接受与 QNAP 产品及网络服务相关的安全漏洞报告。任何超出本计划范围的安全性报告不属于本计划受理范围，将不符合奖励资格。本计划不接受或奖励在第三方软件（例如第三方 QPKG）中发现的安全漏洞。如果您在此类软件中发现安全问题，请直接联系并通知相关厂商或开发者。其他不属于本计划奖励范围，但与 QNAP 产品或服务相关的安全问题，其报告方式请参阅《协调式漏洞披露政策》。

  • 操作系统

    奖金至多$20,000美元

    QNAP 开发的作业系统：QTS、QuTS hero、QuTScloud 均包含在本计划范围内。

  • 应用程序

    奖金至多$10,000美元

    QNAP 官方研发的应用程序。

  • 云端服务

    奖金至多$5,000美元

    QNAP 官方提供的云端服务。

如何报告安全问题与漏洞

请使用以下PGP 公钥将电子邮件信息加密，并发送至 security@qnap.com，QNAP PSIRT 会主动联系研究人员以确认提交数据。

弱点通报建议格式范例

  • 操作系统

  • 应用程序

  • 云端服务

PGP 代码

回报问题

奖励资格标准

  • 您必须是首个报告安全漏洞的研究人员。

  • 您尚未向公众披露此安全漏洞。

  • 您报告的安全漏洞已由 QNAP 内部人员确认为可验证、可复现，并且符合奖励资格的漏洞。

  • 您同意并遵守奖励计划规范。

  • 如在研究过程中接触到 QNAP 或其用户的非公开数据，您已依《测试行为与数据处理规范》完成数据删除，并在期限内提供书面删除声明。

奖励金额保留调整空间，具体决定如下：

加分项

  • 遵循弱点通报建议格式范例：请提供必要且充分的弱点通报信息，建议格式：作业系统格式范例、应用程序格式范例、云端服务格式范例。

  • 复制步骤：清晰详尽的复制步骤。

  • 问题描述：条理清晰，内容分段编排明确的安全漏洞报告。

  • 补充信息：弱点通报建议格式范例中建议的项目，或其他有用信息，例如：测试代码、脚本，或其他详细说明。

  • 请以文字形式完整提供攻击封包（exploit payload）原始信息：仅提供图档的封包信息，QNAP PSIRT 团队无法保证能够更贴合复现，在无法重现有效攻击的情况下，漏洞认定可能失效。

调整项

  • 议题严重性与审核顺序：QNAP PSIRT 会根据议题的严重性进行排序、验证和修补，优先处理对用户数据和系统有重大影响的议题。议题的严重性由奖励委员会参考 CVSS v3.1 评分，并结合实际可利用性和受影响范围综合评定；经评定为低严重性的议题，其审核顺序将低于高严重性议题。所有经确认且仍在支持期内的议题，无论严重性高低，均会纳入 QNAP 的修补排程。

  • 严重性对应的奖励额度：奖励额度根据议题经评定的严重性级距核给。评定为低严重性的议题，其奖励额度将相应调整，并低于同一范围内高严重性议题的额度；各范围所公告的金额为该范围的至多额度，并非各案件的保证金额。

  • 若问题经评定为低严重性，且仅属于安全性改进建议、未造成实际损害（例如设置调整建议、版本或路径等信息披露、较佳实践提醒），经验证无法证明可被实际利用造成危害，不核发奖金，但仍属有效议题，我们仍会将您列入公开致谢名单；与“不符合奖励资格”（不予受理，亦不列入致谢）不同，二者主要以是否提供可验证的实际执行结果为区分。不符合奖励资格的具体情形，详见各适用范围“注意事项”。

  • 重复性与同源议题：多笔报告如经确认源自相同根本原因（root cause）、相同程序代码路径，或可由同一次修补一并解决，QNAP PSIRT 得并为单一案件评估。合并后之奖金以该案件所属级距之单一额度为上限，不依报告件数累计；并以最早完整送达之报告为受奖对象。

  • 同类型态议题之后续回报：QNAP 已受理或已完成修补的同类型态议题，其后续回报（含不同界面、不同参数或不同模组之相同型态问题）将视为既有案件之衍生案（variant），此类回报仍会分别认定为有效议题并分别指派 CVE 编号，奖励则就该类议题整体核给：同一类议题之第 1 至第 10 件，依其所属级距全额核给；自第 11 件起，依该级距金额之 10% 核给。件数不分回报者累计计算，不另设计算期间。前述「同一类议题」以相同 CWE 分类，且属相同功能元件或相同程式码模式者为判定基准；QNAP PSIRT 将于弱点确认信中一并告知衍生案之认定结果，及该类议题目前之累计序号。研究员如有异议，得于收信后 14 个日历日内来信说明。

  • 报告完整性与可重现性：如报告者未自行复验，或仅提供工具原始输出而未说明实际影响及重现方式的报告，QNAP PSIRT 将请报告者补充说明；在补充完成前，该案件的审核顺序将低于信息完整的案件。

  • 实际安全影响：仅具理论性、需极不常见的前提条件，或未能证明对使用者数据与系统造成实质影响的议题，奖励金额将相应调整。

致谢

感谢所有研究人员的专业与投入。

FAQ

奖励机制与奖金金额由 QNAP PSIRT 成员组成的 Bounty 审核团队会考虑以下因素决定：成功利用漏洞的复杂性、安全漏洞的威胁性（包括受影响的用户和系统的比例）。

可以，如果通过视频可以让人更容易理解弱点如何被利用，评审委员可能因此提高评分。请注意书面文件资料是必须的（例如：PoC 概念证明文件及完整说明），这样有助于弱点披露流程的管理。

弱点通报至少必须包含：弱点所在的产品名称、版本及版本号或云端服务的网址位置、关于漏洞潜在威胁的摘要，以及尽量清晰的复现步骤，并可搭配视频以重现漏洞。

请使用 QNAP 提供的 PGP 公开密钥加密报告，并寄送至 security@qnap.com。系统收到邮件后会自动回复技术申请单号，研究员后续可使用此单号查询审核进度。

QNAP PSIRT 团队会主动联系研究员，确认提交的数据是否完整。针对数据完整且经初步评估为高严重性的案例，原则上研究员将在数据确认完整后一周内收到 QNAP PSIRT 漏洞确认信，内容包括指派给该安全报告的 CVE ID。

奖金提案将在漏洞确认信寄送日起四周后以电子邮件通知；如研究员同意该提案，QNAP 预计于收到确认回复后十二周内完成汇款。

QNAP PSIRT 在验证阶段会分析各个案件的根本原因。如果多笔回报经确认源自相同根本原因、相同程序代码路径或相同设计模式，将合并为单一案件处理，并以最早完整送达的回报为获奖对象；后续回报如提供了额外的安全影响信息，我们仍会纳入评估。如果属于同一类型但分别需要独立修正的议题，我们会分别认定并分别指派 CVE 编号；奖励则就该类议题整体核发，第 1 至第 10 件依级距全额核发，自第 11 件起依该级距金额的 10% 核发，件数不分回报者累计计算。

可以。QNAP 尊重各种研究方法，我们关注的是报告本身的质量。无论采用何种工具，请在提交前自行完成复验，并在报告中注明重现步骤与实际安全影响。仅附上工具原始输出、未经验证或未说明影响的报告，我们可能需要您补充信息，其审核顺序也会低于信息完整的案例；经评估不具实际安全影响者，将不符合奖励资格。

QNAP 会优先投入资源处理对使用者数据与系统具有重大影响的议题，因此低严重性议题的验证与反馈顺序会排在高严重性议题之后，奖励额度也会依其严重性级别相应调整。这不会影响我们对该议题的处理——所有经确认的议题都会纳入修补排程。如果您认为评定结果与实际影响有差距，欢迎来信security@qnap.com补充可提升影响评估的信息，例如更低的权限前提、更广的受影响版本范围，或可串接其他问题形成完整攻击链的说明。

如果您的问题属于安全性改进建议，且未造成实际损害，我们仍会将您列入公开致谢，但不会发放奖金。

请立即停止进一步存取。在报告的影响描述中，请说明所涉数据表或端点名称、栏位名称与笔数，必要时附上经遮蔽之样本，无需也请勿附上原始数据档案。

送出回报后，请于 7 个日历日内删除所有副本，并以电子邮件提供一份具名书面删除声明，载明删除数据之范围、删除日期时间与删除方式，并确认已涵盖《测试行为与数据处理规范》所列之全部存放位置。此声明为核发奖励之必要条件。

声明可沿用您回报时使用的名称或研究代号，无需提供其他身份证明文件；若因所属组织规范无法个人具名，须由组织联系人代为出具，或以电子邮件回复逐项确认。如未于期限内提供，我们会先以电子邮件提醒，并暂缓该案件的奖励评估。

更贴合说明接触范围不会影响您的奖励资格，反而有助于 QNAP 正确评估影响并采取必要措施。

建议用户订阅 QNAP 安全通报，及时掌握安全信息！

立即订阅如何看懂资安通报

本页最后更新：2026/08/31。本计划条件得不定期调整，以本页公告之最新版本为准。

选择规格

      显示更多 隐藏更多
      back to top