爱奇艺安全应急响应中心漏洞处理流程与评分标准(2026)

爱奇艺安全应急响应中心

2026年10月10日 17:49
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

基本原则

1. 爱奇艺非常重视自身产品和业务的安全，我们承诺对每一份报告都有专人进行跟进与评估，并给予白帽子与之匹配的利益；
2. 爱奇艺重视负责任的漏洞披露和处理过程，我们承诺对于每位恪守白帽子精神，帮助爱奇艺提升安全的用户，我们将给予感谢和回馈；
3. 爱奇艺反对和谴责一切利用安全漏洞进行渗透、破坏、窃取和损害爱奇艺公司及其用户利益的骇客行为，包括但不限于利用漏洞盗取用户隐私、账号、虚拟财产、入侵业务系统、窃取数据、恶意传播漏洞等。更谴责一切利用安全漏洞进行炒作、恐吓、勒索和攻击竞争对手的行为；
4. 如果您对漏洞评级结果有争议，欢迎通过对应漏洞报告评论处向我们反馈，互相尊重和理性沟通是解决问题的前提，对于捏造事实、恶意诋毁平台或言语攻击、辱骂威胁以及试图贿赂平台工作人员的行为，我们将不予以奖励，已发放的奖励将追回，同时封禁平台账号，感谢您的理解和配合

漏洞处理流程

1. 登录https://security.iqiyi.com/#submit提交漏洞
2. 漏洞提交成功后，漏洞单状态为【未审核】
3. 71SRC审核确认漏洞有效后，漏洞单状态为【修复中】；如漏洞无影响需忽略或重复提交，71SRC工作人员将与报告者联系或漏洞报告中留言，再将漏洞单状态更改为【已关闭】
4. 漏洞确认后，如有疑问请及时与71SRC工作人员联系（可通过在漏洞单评论）
5. 有效漏洞在修复完成后，漏洞单状态更新为【已关闭】，如白帽子在复测时发现漏洞依然存在，可再次提交。

漏洞评分标准

根据报告的漏洞的危害程度一共分为五个级别：严重、高、中、低、忽略；根据业务等级划分为核心业务、一般业务、边缘业务、合作商，下面详细描述了安全漏洞的评级标准，具体漏洞评判基本及分值以爱奇艺实际评判结果为准。

业务等级划分（包括但不限于 \.*iqiyi.com、\.*iq.com、\.ptqy.gitv.tv、部分\*.pps.tv 等）*

1. 核心业务：爱奇艺主站/主APP、passport、会员、支付、广告、TV（\*.ptqy.gitv.tv）等
2. 一般业务：爱奇艺号、智能制作、国际站、随刻、奇巴布、文学等
3. 边缘业务：奇秀、爱奇艺知识、VR等
4. 合作商：爱奇艺体育、游戏业务、CDN业务（\.inter.71edge.com、d-\-cache.71edge.com等）、天象互动（\.crimoon.net、\.skymoons.com）等

PS：以上业务范围于2026年9月22日更新

根据报告的漏洞的危害程度一共分为五个级别：严重、高、中、低、忽略；根据业务等级划分为核心业务、一般业务、边缘业务、合作商，下面详细描述了安全漏洞的评级标准，具体漏洞评判基本及分值以爱奇艺实际评判结果为准。

单位：安全币。

奖励区间内的具体数值将根据漏洞影响范围、利用难度、报告质量综合评定。报告完整性达标且影响范围大者，奖励趋近区间上限

漏洞评级标准

1. 漏洞严重性分级

【 严重 】

1. 直接获取系统权限的漏洞。包括但不仅限于命令执行、代码执行、获取 Webshell、SQL 注入获取系统权限、缓冲区溢出、获取 root 权限、获取集群权限、获取服务级别密钥凭证（AK/SK/ 证书 / 密钥等）等
2. 存在参数可遍历、未授权调用等问题，可批量获取巨量明文敏感信息，基于通用原则及特殊评分标准为准
3. 严重的逻辑设计缺陷，如：任意账号密码修改、支付绕过漏洞、以任意人身份执行敏感操作等（对公司造成严重损失）

【 高危】

1. 可导致大量数据泄露的非核心DB SQL注入风险
2. 存在越权访问、未授权调用或参数可遍历等问题，可获取一定范围明文敏感信息，基于通用原则及特殊评分标准为准
3. 源代码泄露、任意文件读取与下载可读取重要敏感文件
4. 越权访问，具有一定影响面的越权漏洞，如：后台（管理员平台）登录弱口令、重要服务弱口令（管理员账号）、越权执行任意人账号全部功能或部分核心功能的敏感操作（删除、添加，修改等）；
5. SSRF全回显内网信息，支持多种协议等；详情见关于SSRF漏洞测试平台使用说明

【 中危】

1. 需交互方可影响用户的漏洞。包括但不仅限于一般页面的存储型 XSS，存储型 XSS 请证明可获取核心 cookie 等敏感信息以payload 的注入点。
2. 普通越权，如：越权查看非敏感信息、影响较小的设计及流程缺陷
3. 存在越权访问、未授权调用或参数可遍历等问题，可获取有限明文敏感信息，基于通用原则及特殊评分标准为准
4. 普通信息泄露，如：轻微数据的SQL注入及难以利用的SQL注入、github泄露员工及公司的简单信息、内部服务器数据库密码、系统路径遍历、包含敏感信息的源代码压缩包泄露
5. 能直接访问爱奇艺内网的无回显的SSRF，详情见关于SSRF漏洞测试平台使用说明

【 低危】

1. 轻微信息泄露，如：重要文件的路径泄露（不包括中间件配置文件）、SVN文件泄露、无敏感信息的异常信息泄露以及客户端应用本地SQL注入（仅泄漏数据库名称、字段名、cache内容）、日志打印、配置信息、异常信息等  ；
2. 监控页面信息泄露，如nginx status页面、Druid web页面、Swagger UI等
3. 没什么影响或危害性的越权或未授权
4. 一般页面的反射型XSS风险（包括DOM-XSS）
5. 难以利用但存在安全隐患的漏洞。包括但不限于难以利用的SQL注入点，有一定影响的CSRF漏洞
6. 可导致资源滥用或造成对用户骚扰的漏洞。包括但不仅限于邮箱或短信轰炸（参考标准：30条/单手机号/分钟）
7. 任意URL跳转漏洞（无任何提示且未使用其他方式多次跳转或中转，则认为存在漏洞，否则不存在）

【 忽略】

1. 无法影响其他用户的漏洞，如self-xss
2. 浏览器解析本地文件造成的安全风险（如pdf文件XSS）等
3. 提交的报告过于简单，无法根据报告内容复现，包括但不限于和漏洞审核员反复沟通都无法复现的漏洞，以及内部整改中的漏洞
4. 不涉及安全问题的 Bug。包括但不仅限于产品功能缺陷、网页乱码、样式混乱、静态文件目录遍历、应用兼容性、复杂交互的URL重定向、账户枚举等问题
5. 普通帐户弱口令
6. 无法利用的漏洞。无敏感操作的CSRF（如取消收藏视频等）、无意义的异常信息泄漏、内网 IP 地址/域名泄漏，仅dnslog的SSRF等等
7. 不能直接反映漏洞存在的其他问题。包括但不仅限于纯属用户猜测、无法重现、未经验证、无意义的扫描报告的问题；
8. 无法证明影响效果和范围的DOS风险
9. 符合业务预期可接受的产品设计设计风险
10. 地图 API key 泄露相关漏洞

通用原则及特殊评分标准

1. SSRF漏洞，不区分业务（除合作商外），一律不回显60金币，部分回显100金币，完全回显500金币
2. XSS漏洞，不区分业务（除合作商外），所有爱奇艺域下的反射型XSS漏洞一律1积分，20金币；所有爱奇艺域下的存储型XSS漏洞一律3积分，90金币
3. 同一漏洞源产生的多个漏洞或修复一个漏洞其他也都会被自动修复时，例如：同一个 JS 引起的多个安全漏洞、同一个发布系统引起的多个页面的安全漏洞、框架导致的整站的安全漏洞、泛域名解析产生的多个安全漏洞、同接口多个参数 xss 漏洞 /sql 注入漏洞、同一资源 ID 导致的越权等。仅收取确认第 1 个为有效漏洞
4. 漏洞报告者在复查漏洞时（相同漏洞已更新漏洞单状态为【已关闭】后）如果漏洞依旧存在，可重新提交漏洞报告，将按新漏洞计分
5. 同一漏洞，首位提交者记分并给予金币奖励，其他提交者按“重复提交”处理
6. 通用型漏洞 如 WordPress、Discuz等开源程序、Flash 漏洞、第三方组件、开源中间件等漏洞，第一个提交者计分，其他提交者均不计分
7. 漏洞报告中请详细说明漏洞影响对象（如漏洞触发位置）、漏洞验证POC、漏洞危害证明（点到为止）
8. 漏洞报告极其简陋，如没有任何截图作为佐证，影响平台人员判断，视为误报
9. 网上已经公开的以及在其他平台提交过的漏洞不作计分
10. 对于与爱奇艺有合作的第三方业务或者历史遗留业务，漏洞对爱奇艺业务有影响的不论漏洞严重性和数量，都将降级处理
11. 敏感信息泄露通则：按字段敏感度定基准——低敏（手机号、真实姓名、地址、邮箱等）基准为中危，高敏（身份证、银行卡等）基准为高危；多种敏感字段组合出现时，可上调敏感度与等级。再按可获取数据规模在基准内调整：少量原则上降一级（中危最高降为低危）；中等规模在对应基准区间内酌情定分；超大规模须专项讨论，可评高危或严重。非敏感信息（如客服姓名）或仅零星姓名等，可评低危或忽略，具体数据规模由平台确定，白帽不可做如脱库等操作来确认，只可进行大概预测判断
12. 白帽子不得采用任何形式的社会工程学方法来获取爱奇艺的数据，否则因此造成爱奇艺损失的，应承担赔偿责
13. 未经爱奇艺SRC方书面授权（需发送申请邮件到[email protected]授权），所有漏洞不得向外公开
14. 所有评判标准的最终解释权归71SRC所有
15. 其他测试规范可查看：SRC行业安全测试规范

关于SSRF漏洞测试平台使用说明

为方便爱奇艺SRC白帽子师傅测试，验证SSRF漏洞。71SRCSSRF漏洞测试平台：

1. 有回显SSRF： 可直接请求：http://ssrf.qiyi.smart/ssrf，如返回\"flag{xxx}\"，说明存在有回显ssrf漏洞
2. 无回显SSRF： 请求：http://ssrf.qiyi.smart/ssrf?host=your_domain，若your\_domain服务收到请求，说明存在无回显SSRF漏洞。

对于your\_domain说明：

1. your\_domain可为您自己的域名、IPv4地址或外部服务；
2. your\_domain仅允许小写字母、数字和.，最长允许32个字符，请勿带协议信息及其他特殊字符，不支持HTTPS协议。

特别说明：

1. 在SSRF漏洞挖掘过程中，严禁对爱奇艺内网发起扫描或攻击；
2. 无回显SSRF中，dnslog有一定概率误报，具体需要审核复核；
3. 请勿对http://ssrf.qiyi.smart域名进行任何形式攻击和测试；
4. 本测试能力仅供71SRC白帽子在测试SSRF漏洞使用，请勿用做其他用途；
5. 在本测试中如发现任何问题，请联系71SRC运营同学反馈；
6. 本测试不支持IPv4/IPv6地址的无回显测试，建议使用支持IPv6的域名测试；
7. 特别提醒：有回显的SSRF，证明SSRF存在并且有回显即可，禁止深入内网渗透测试或其他有害化行为。

争议解决办法

在漏洞报告处理过程中，如果报告人员对处理流程、漏洞定级、漏洞评分等有任何异议的，可以发送详情到漏洞单评论处向我们反馈，我们将会有专门的工作人员与您联系。

奖励发放原则

1. 奖励以礼品形式使用金币（71SRC的一种虚拟货币，1金币=3RMB）兑换，兑换地址：https://security.iqiyi.com/#gifts
2. 多个漏洞产生的金币可累加，除非特别声明，未使用的金币不会过期，奖品上架时有数量限制，当期上架礼品被兑换完后不再接受兑换。
3. 虚拟礼品会在每周的最后一个工作日通过和提交者沟通的形式发送。
4. 实体礼品每周的最后一个工作日邮寄，邮寄后将在SRC平台更新快递单号。
5. 如因漏洞提交者未能及时完善资料导致的延误，将顺延至下一周批量寄送时寄出。
6. 如因报告者过失导致礼品丢失或者损坏，71SRC 将不承担责任；如因快递公司问题及其他人力不可抗拒因素导致礼品丢失或者损坏，最终责任由71SRC承担。

用户等级规定

根据注册白帽子的积分累计总值共分为八个等级：实习安全研究员、安全研究员、高级安全研究员、资深安全研究员、安全专家、高级安全专家、资深安全专家、安全科学家，同时支持非注册用户在线提交漏洞。下面详细描述了每个等级的评判标准：

【非注册用户】

支持未登录在线提交漏洞，漏洞入库并不计算分值，前台不显示。

【注册用户】

实习安全研究员：分值在1-20的注册白帽子用户

安全研究员：分值在20-50的注册白帽子用户

高级安全研究员：分值在50-100的注册白帽子用户

资深安全研究员：分值在100-200的注册白帽子用户

安全专家：分值在200-300的注册白帽子用户

高级安全专家：分值在300-500的注册白帽子用户

资深安全专家：分值在500-800的注册白帽子用户

安全科学家：分值在800以上的注册白帽子用户

注意事项

1. 恶意提交者将封号、清空积分处理
2. 提交无关的问题爱奇艺有权不做答复
3. 爱奇艺员工不得参与或通过亲属、朋友参与
4. 任何关于本文件的建议，欢迎通过 [email protected] 给我们反馈
5. 爱奇艺对本文件内容拥有最终解释权，上述规则如有任何变更以爱奇艺相关页面公布的实际规则为准