政策

負責任揭露

• 只寫已公開、且已有官方修補或緩解方案的漏洞。
• 驗證只在我們自己架設、用完即刪的隔離環境進行,不對任何第三方系統做測試。
• 頁面不提供攻擊程式、payload 或逐步重現攻擊的方法;驗證紀錄只寫環境與結果。
• 惡意套件事件只分析公開資料,不下載、不執行惡意程式。
• 若廠商或研究者認為某頁內容有誤或揭露過多,請寫信到 wenstudio.sunshine@gmail.com,我們會在 72 小時內回覆。
• 我們不收未公開的漏洞。如果你發現了新的漏洞,請直接通報該產品的廠商;通報時程結束、公開之後,我們才會撰寫。

AI 審稿規則

標示「AI 審稿(未經人工)」的頁面,由兩個彼此獨立的 AI 各自逐項對照一手來源,以下每一項都兩個都判定通過才會發布;只要有一項不通過或不明確,就不發布。沒通過的地方,AI 只會依來源把頁面改得更保守(減弱說法、註明出處),再整篇重新審稿,最多四輪;仍不明確的交給人工判斷。

• 編號、產品、廠商和受影響、修補版本,與廠商公告、CVE 紀錄或 GitHub 公告一致;來源之間不一致時,頁面要並列並註明出處。
• 攻擊前提、影響和處理建議沒有寫得比來源更嚴重或更寬鬆,前提條件沒有被省略。
• 「已遭利用」只根據 CISA KEV、廠商或 CERT 的說法;沒有來源的寫成未知。
• CVSS 分數與出處(CNA 或 NVD)、各個日期都和來源一致。
• 來源說法不一致時,往上游追到源頭(修補程式碼與版本發布紀錄、廠商或維護者公告、CVE 紀錄、CISA KEV),以源頭為準;版本、修補、是否遭利用、嚴重度與日期,只靠彙整資料庫或新聞不能通過。
• 每一條「查看依據」的引用原文,都真的出現在所附來源裡,而且沒有被斷章取義。
• 檢查指令只檢查自己的環境;頁面沒有攻擊程式、payload 或可照做的重現步驟,也不連結 PoC。
• 至少一筆一手來源,連結都打得開;中英文版的事實一致。

AI 審稿不是實際重現;重現過的頁面另外標示「已重現」。

更正

發現錯誤,請點頁面底部的「回報錯誤」,或寫信到 wenstudio.sunshine@gmail.com。確認後我們會修正頁面並更新日期,重大更正會在頁面上註明。

本站的安全問題

如果你發現 plaincve.date 本身的安全問題,請寫信到 wenstudio.sunshine@gmail.com,並請先不要公開。聯絡方式也列在 security.txt。

授權

• 文章:CC BY 4.0,轉載需署名並附連結。
• 規則:MIT,可自由用於商業與非商業環境,但不提供任何保證。

廣告、贊助與隱私

本站不放廣告,本身不設定 cookie,也不載入第三方追蹤程式。我們接受讀者的自由贊助(在 Ko-fi 請我喝杯咖啡);贊助不影響任何頁面的內容與結論。

免責

本站內容僅供教育與防禦用途,依公開資料整理,可能有錯誤或已過時,處理前請以廠商公告為準。使用本站規則造成的誤擋或漏擋,本站不負責任;部署前請在自己的環境測試。