V3.0 2026-10-19 调整漏洞评分标准和评分计算方法。【低危】不再提供安全币奖励。

一、安全漏洞评分标准

1、漏洞等级

漏洞评分由JJSRC结合实际情况如漏洞利用难度，危害范围等划分为【严重】、【高危】、【中危】、【低危】，【无危害】四个等级。【低危】，【无危害】不再提供安全币奖励。

2、术语定义

敏感操作：支付、转账、充值提现、修改密码、绑定/解绑手机或邮箱、修改实名信息、账号注销、授权与权限变更、发布/删除他人可见内容。

敏感信息：账号密码与凭证（token、cookie、session）、身份证、银行卡号、手机号、精确位置、私密通信内容、批量用户数据。

账号接管：无需受害者主动配合即可登录、控制他人账号。

用户交互：受害者需要点击链接、输入内容、打开文件等主动行为。

数据规模：少量指 ≤100 条用户记录且不可批量导出；较大范围指介于少量与大量之间（>100 条且 <1000 条，或仅可部分批量导出）；大量指 ≥1000 条、可批量导出、或涉及全量用户 1% 以上（取高者）。

权限高度：系统/服务器权限 > 超级管理员权限 > 普通管理权限 > 普通用户功能 > 公开功能。

3、漏洞评级标准

【严重】：

直接获取系统权限、直接造成大规模敏感数据泄露或核心业务损失，无需复杂前置条件即可利用。

直接获取系统权限。包括但不限于直接上传获取 WebShell、远程任意命令执行（RCE）、任意代码执行、SQL 注入进一步获取系统权限、可被利用的缓冲区溢出（可执行代码）、任意文件上传/写入/读取导致权限获取、SSRF 直接获取云凭证或内网服务控制权。

核心业务的严重逻辑设计缺陷和流程缺陷。包括但不限于任意账密校验逻辑缺陷、核心接口数据验证逻辑缺陷、无前置条件修改任意账号密码、无前置条件的任意账号接管（可批量）、任意账号资金消费、支付系统逻辑绕过、充值/提现逻辑绕过导致任意金额操作、游戏经济系统核心逻辑缺陷导致重大财产损失。

直接导致严重的敏感信息泄露。包括但不限于可获取大量用户身份信息（身份证、银行卡号、手机号、密码凭证）的漏洞、重要数据库（身份、资金、交易相关）的 SQL 注入、可直接利用的批量敏感数据泄露、包含生产环境系统凭证（云密钥、私钥、数据库 root 凭证）的源代码或配置文件泄露。

认证与权限类缺陷。包括但不限于绕过认证直接获得超级管理员/系统权限、可对任意账号执行敏感操作（含批量执行）。

直接导致业务系统不可用。包括但不限于直接导致核心业务接口或整个业务系统拒绝服务的漏洞（服务端崩溃、核心资源耗尽、可低成本批量触发）。

【高危】：

可造成较大范围的敏感数据泄露、资金损失、账号安全事件或业务受损，但影响范围、权限高度或利用条件不及严重级。

高风险的敏感信息泄露。包括但不限于非核心数据库的 SQL 注入（可批量获取数据或可写入/进一步利用）、源代码压缩包整体泄漏或其他可直接利用的信息泄露（含生产环境有效的内部接口、数据库连接串、硬编码密钥）、较大范围的用户认证信息泄露（token、cookie、密码哈希）。

大范围影响用户的漏洞。包括但不限于涉及交易、资金、修改密码、绑定/解绑手机或邮箱的可被直接利用的 CSRF 漏洞，可直接导致资金损失或定向账号接管。

可致账号失陷的跨站脚本。包括但不限于覆盖高频页面或管理后台的存储型 XSS，可窃取他人（含管理账号）凭证或代持操作导致账号失陷；可自动传播的存储型 XSS 造成大规模账号失陷。

敏感信息的非授权访问。包括但不限于绕过认证或越权访问敏感管理后台（获得普通管理权限）、后台弱口令、账号越权修改重要信息（实名、绑定关系、权限配置）、重要业务配置修改、有回显或可批量读取内网信息的 SSRF、越权批量导出用户数据。

账号接管类流程缺陷。包括但不限于短信/邮件验证码绕过或可被直接利用导致他人账号被接管（需掌握受害者特定信息，或存在数量、频率等限制）、密码重置流程缺陷可定向重置他人密码。

高风险的游戏漏洞。包括但不限于修改客户端影响游戏经济系统、造成大量财产损失、影响全服或大范围玩家公平性的漏洞。

非核心服务或批量客户端的拒绝服务。包括但不限于可远程批量触发非核心业务服务不可用、可远程批量触发大量用户客户端崩溃或不可用。

【中危】：

可对其他用户或平台造成实际、可验证的危害，但存在交互要求、数据敏感度或影响范围上的限制。

跨站脚本（XSS）。一般业务场景的存储型 XSS，可窃取他人凭证/敏感数据或代持操作；可自动传播的存储型 XSS（传播仍以用户访问为触发前提）——未造成大规模账号失陷或管理账号失陷的以此档为基准，若造成大规模或管理账号失陷则定高危。

跨站请求伪造（CSRF）。涉及敏感操作（支付、改密、绑定手机/邮箱等）的 CSRF，但需依赖额外交互条件或参数，无法直接、批量利用，且不直接导致资金损失或账号接管。

JSON Hijacking。可跨域获取用户敏感数据。

有限的信息泄露。包括但不限于少量用户认证信息泄露（token、cookie、手机号、密码哈希）、片段性源码泄露（含测试环境凭证、已失效密钥或有限利用价值的内部信息）、非核心数据库的 SQL 注入（数据量少、敏感度低、无法进一步扩大利用）、无回显 SSRF（可探测内网服务、发起有限请求，但无法读取响应内容）。

水平越权。包括但不限于不正确的直接对象引用（IDOR），可读取或修改他人非敏感数据；身份数据有限篡改。

逻辑与流程缺陷。包括但不限于短信验证绕过、邮件验证绕过（不直接导致他人账号被接管，接管情形归高危/严重）；认证接口无频率限制、无账号锁定、无风控，可高成功率批量爆破用户凭证。

游戏漏洞。本地修改内存数据影响游戏业务逻辑，影响部分正常玩家体验或局部公平性，但未造成大量财产损失。

远程拒绝服务。可远程触发单点客户端或个别服务进程崩溃，影响范围有限；Android 组件权限暴露或普通应用权限问题，可被远程利用导致拒绝服务。

URL 跳转。URL 跳转缺陷可导致授权令牌、OAuth code 等凭证泄露，但需额外交互或特定条件。

【低危】：

存在真实安全隐患，但危害轻微、利用条件苛刻、或影响范围有限。

跨站请求伪造（CSRF）。涉及用户非敏感操作的 CSRF（如修改昵称、头像、非敏感设置）；非敏感功能的 CSRF。

CORS 配置不当。可导致敏感信息跨域泄露，但泄露范围或敏感度有限。

认证安全。登录密码/验证码可被暴力破解，但存在一定限制条件（如需较高时间成本或可被风控拦截）。

轻微信息泄露。包括但不限于路径信息泄露、SVN/Git 仓库信息泄露（仅目录结构与元数据；若可下载源码则按源码泄露档位定级）、PHPinfo、异常信息泄露、测试数据泄露、调试页面暴露（不含敏感数据或危险操作接口）、服务端配置信息泄露（不含任何可用凭证）、客户端应用本地 SQL 注入（仅泄漏数据库名称、字段名、cache 内容）。

逻辑设计缺陷。包括但不限于图形验证码绕过；对任意指定用户或手机号无限制的短信轰炸（参考标准：≥30 条/单手机号/分钟）。

难以利用但存在安全隐患的问题。包括但不限于利用条件苛刻的 SQL 注入点（无回显、严格过滤、仅影响不敏感数据）。

URL 跳转。任意 URL 跳转（含无交互跳转），仅能诱导用户访问外部页面，无直接凭证泄露。

本地拒绝服务。客户端解析异常文件格式、异常网络协议导致的崩溃（仅本地触发）；Android 组件权限暴露、普通应用权限引起的本地问题。

游戏漏洞。本地修改内存数据影响游戏业务逻辑，但不影响其他正常玩家的游戏体验。

垂直越权。用户普通操作的垂直越权，可调用普通管理功能，但不涉及敏感数据读写或敏感操作执行。

【无危害】：

不构成有效安全漏洞，或漏洞无法利用、无实际影响。

非安全问题的 bug。包括但不限于产品功能缺陷、页面乱码、样式混乱、网页无法打开等。

无法重现的漏洞。包括但不限于经平台专员确认无法重现的问题、纯属用户猜测且无验证证据的问题。

信息价值为零的泄露。仅包含公开信息、匿名标识符或测试环境死数据的泄露。

无法利用的漏洞。包括但不限于：

• Self-XSS（仅影响攻击者本人，无实际利用场景）；
• 反射型 XSS 但无法获取任何信息或执行有意义的操作（仅影响页面展示）；
• 无敏感操作的 CSRF（目标接口不涉及任何状态变更或敏感行为）；
• 无敏感信息的 JSON Hijacking；
• 无实际意义的扫描器漏洞报告（如 Web Server 低版本号、缺少安全头但无实际绕过场景）；
• 无意义的源码泄漏（不含任何密钥、配置、接口信息）；
• 内网 IP 地址/域名泄漏、管理后台地址泄漏、程序路径信任问题；
• 无敏感信息的 logcat 信息泄漏；
• SSRF 仅能访问自身回环地址且无任何实际影响；
• 短信/邮件发送条数有限且已有频控限制（不构成有效轰炸）。

4、业务系统

竞技世界业务等级根据重要程度分为【核心业务】、【一般业务】和【其他业务】

【核心业务】：竞技世界官网（www.jj.com）、JJ斗地主游戏APP及小程序

【一般业务】：除核心产品外的其他主要业务，竞技世界直接运维业务相关的网站、游戏，如：JJ麻将游戏APP及小程序、JJ象棋游戏APP及小程序、曙光英雄、热血街篮

【其他业务】：不涉及竞技世界主要业务，非竞技世界直接运维业务相关的网站、游戏，如：联运游戏、其他小程序等

5、漏洞评分计算方法

安全币=业务等级*漏洞评分

二、通用原则

1、评分标准仅适用于竞技世界的产品和业务。与竞技世界无关的漏洞均不记分

2、规则评分奖励制度只针对通过竞技世界安全应急响应中心在线提交漏洞（或邮箱）反馈的非竞技世界员工

3、由同一个漏洞源产生的多个漏洞计漏洞数量为一个

4、某一全局功能、同一文件或模板、泛域名解析等引起的多个问题计漏洞数量为一个

5、同一个报告里提交多个漏洞，只按级别最高的漏洞计分

6、漏洞相同则只给最早提交的用户计分

7、同一系统中的同一类型漏洞确认不超过2个

8、已经公开的漏洞将不计分

9、漏洞提交报告应尽量详细、规范。提供详细的漏洞详情、漏洞原理、利用方式以及修复建议的可以酌情加分

10、任何以漏洞测试为借口,利用漏洞进行损害用户利益、影响业务正常运作、修复前公开、盗取用户数据等行为的，将不会计分，同时竞技世界将保留采取进一步法律行动的权利

11、对于提交的漏洞信息，非经我方同意，白帽子不得擅自公开传播、发行，且不得将漏洞信息转让给其他第三方机构

三、争议解决办法

在漏洞报告处理过程中，如果报告人员对处理流程、漏洞评分等有任何异议的，可以通过邮件及时和工作人员沟通。