VSRC 《漏洞处理流程和评分标准6.0版》上线！

1.未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为。

2.非服务所必需或无合理应用场景，特别是在静默状态下或在后台运行时，超范围，超频次收集个人信息的行为。

3.未向用户告知且未经用户同意，私自使用个人信息，将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息的行为。

4.未以显著方式标示且未经用户同意，将收集到的用户搜索、浏览记录、使用习惯等个人信息，用于定向推送或广告精准营销，且未提供关闭该功能选项的行为。

5.非服务所必需或无合理应用场景下，用户拒绝相关授权申请后，应用自动退出或关闭的行为。

6.用户明确拒绝权限申请后，频繁弹窗、反复申请与当前服务场景无关权限的行为。

7.未及时明确告知用户索取权限的目的和用途，提前申请超出其业务功能等权限的行为。

8.未向用户告知且未经用户同意，或无合理的使用场景，频繁自启动或关联启动第三方APP的行为。

9.未向用户提供账号注销服务，或为注销服务设置不合理的障碍。

10.非服务所必需或无合理场景，通过积分、奖励、优惠等方式欺骗误导用户提供身份证号码以及个人生物特征信息的行为。

严重等级包括：

1.与相关法律法规存在严重冲突

2. 影响特别严重，涉及核心业务，且严重侵犯用户隐私

3. 发现方式新颖，有一定的技术深度，且对我们后续合规工作用重大帮助

高危等级包括：

1.与相关法律法规存在较大冲突

2. 影响严重，涉及核心业务，且侵犯用户隐私或给用户带来较大负面影响

中危等级包括：

1.与相关法律法规存在冲突

2. 影响较大，涉及一般业务，且会给用户带来一些负面影响

低危等级包括：

1.与相关法律法规存在冲突

2. 影响存在争议或影响相对较小，基本不会给用户带来负面影响

无效等级包括：

1.已知或不具实效性的合规风险

2.不能证实、或没有明确的法律法规依据的合规风险

3.人为制造的等虚假或无效合规风险

严重等级包括：

1) 核心业务系统、生产及办公网络的入侵情报。如：内网漫游、核心生产服务器入侵、核心数据库的拖库等相关线索。

2) 核心业务造成重大影响的威胁情报。如：大规模套现活动、大规模唯品会账号盗取等。

3) 大规模敏感信息泄露并验证真实有效的情报。如：会员详细信息、订单详细信息等。

4) 重大0Day漏洞。如核心服务器软件、系统等未公开或半公开漏洞，核心办公软件等未公开或半公开的漏洞等；

高危等级包括：

1) 非核心业务系统的入侵线索。

2) 造成较大资金损失的威胁情报。例如：有组织的进行薅羊毛行为。

3) 金融逻辑漏洞线索。如：支付相关产品的逻辑缺陷，身份信息泄露等。

中危等级包括：

1) 一般风险的业务安全问题。如：优惠券刷取、业务规则绕过、会员权益刷取等。

2) 新型可利用的工具、平台并提供完整可用的工具。如：黑产刷单工具等。

3) DDOS情报、攻击时间等相关线索。

低危等级包括：

1) 低风险的业务安全问题。如：批量注册账户等。

2) 发现针对唯品会的假冒或者钓鱼网站等

无效情报包括：

无效威胁情报是指：错误、无意义、与唯品会无关或根据供信息无法调查利用的威胁情报， 例如：

1) 上报虚假捏造或者无法还原的情报信息。

2) 只上报可能套现、刷取利益的聊天群，但未提供其他有效信息。

3) 上报已失效的威胁情报。