更新日期：2026.7.17
本计划包括中兴通讯如下产品范围：
| 产品类型 |
型号 |
| 终端产品 |
云终端：W152D
云电脑：uSmartView V7.25.43
移动互联：MC888,MC8600
智能机：Z80 Ultra（只包括星云AIOS自身的漏洞，不包括第三方组件、安卓原生环境的漏洞）
|
1. 漏洞奖励和评级标准
1.1 漏洞奖励
奖励根据漏洞对产品影响程度、影响范围、漏洞等级，以及漏洞报告的描述清晰度进行计算。
| 严重程度 |
严重 |
高危 |
中危 |
低危 |
| 奖励 |
¥3000~¥30000 |
¥1500~¥7500 |
¥300~¥1500 |
¥100~¥300 |
1.2 漏洞评级标准
【严重】
1）直接获取核心系统（核心控制系统、域控、业务分发系统、堡垒机、防火墙等可管理大量服务器的管控系统）或核心服务器权限的漏洞，包括但不限于：上传Webshell、任意代码执行、远程命令执行、服务器解析漏洞、文件包含漏洞、远程缓冲区溢出、虚拟机逃逸、SQL注入获取系统权限；
2）核心系统严重的信息泄露漏洞，包括但不限于：核心DB的SQL注入、大量用户重要敏感信息泄露（至少包含3个敏感字段：姓名/身份证、银行卡信息、手机号/邮箱、密码、地址）、企业内部核心数据泄露、核心设备配置数据和日志数据泄露；
3）核心系统严重的逻辑设计漏洞或流程缺陷，包括但不限于：批量修改任意账号密码漏洞、任意账号资金消费和任意金额修改的支付漏洞等，对用户、公司造成重大损失；
4）可远程对核心系统、核心服务器的可用性造成永久严重影响的漏洞，包括但不限于：直接导致核心系统业务瘫痪、核心服务器瘫痪的拒绝服务漏洞。
【高危】
1）直接获取重要业务服务器权限的漏洞，包括但不限于：上传Webshell、任意代码执行、任意命令执行、服务器解析漏洞、文件包含漏洞、远程缓冲区溢出、虚拟机逃逸、SQL注入漏洞；
2）直接导致重要的信息泄漏漏洞，包括但不限于：重要DB的SQL注入漏洞、文件遍历、服务器任意文件读取、重要业务大量源码或压缩包泄露；
3）大范围影响用户的漏洞，包括但不限于：核心业务可造成自动传播的存储型XSS、可获取管理员认证信息且成功利用的存储型XSS、可导致蠕虫的CSRF等、可获取敏感信息或者执行敏感操作的重要客户端产品的XSS漏洞；
4）严重的越权访问，包括但不限于：弱口令或绕过认证访问重要系统后台、批量盗取用户重要身份信息、远程方式获取普通移动客户端权限执行任意命令和代码；
5）较严重的逻辑设计或流程缺陷，如重要系统任意密码重置漏洞；
6）可远程对重要业务系统、重要服务器的可用性造成永久严重影响的漏洞，包括但不限于：直接导致重要系统业务瘫痪、重要服务器瘫痪的拒绝服务漏洞。
【中危】
1）需交互才能获取用户身份信息的漏洞，包括但不限于：重要敏感操作的CSRF、普通业务的存储型XSS；
2）较严重的信息泄漏，包括但不限于：获取非敏感数据的SQL注入漏洞、无法回显的SSRF漏洞、包含敏感信息（如DB连接密码）的源代码或压缩包泄漏、本地保存的敏感认证密钥信息泄露（需能做出有效利用）；
3）普通的越权访问漏洞，包括但不限于：绕过限制访问非重要系统后台、不正确的直接对象引用、绕过限制修改用户资料、执行用户操作、读取用户信息、非关键业务篡改；
4）普通逻辑设计缺陷，包括但不限于：验证码逻辑错误导致任意账户登录、任意密码找回等系统敏感操作可被爆破成功造成的漏洞、无限制短信等发送等；
5）任意文件操作漏洞，包括但不限于：任意文件读/写/删除/下载等操作、任意文件上传，如上传html导致存储型XSS。
【低危】
1）跨站脚本漏洞，包括但不限于：反射型XSS（包括DOM XSS和Flash XSS）、Json Hijacking；
2）危害有限的越权操作。
3）通过本地可在受限进程中执行任意代码；
4）通过本地发起暂时性拒绝服务攻击导致系统挂起、进程崩溃影响可用性；
1.3 不予奖励范围
以下攻击不在我们的漏洞奖励计划范围内：
1）导致应用程序级别的崩溃，或者只是提到MITM或SQL注入的可能性但未提及利用方式；
2）所涉及漏洞在利用过程中依靠在内容上欺骗用户（例如钓鱼、诱导点击等）配合交互，并且交互次数超过2次及以上，我们不会对需要此类利用场景的漏洞进行奖励；
3）不仅影响中兴设备而且影响其他厂商设备的第三方漏洞；
4）在上报中兴之前，该漏洞的技术细节（如：POC等信息）已经公开，包括但不限于网站、自媒体、邮件组、公开演讲、即时聊天群等，此类漏洞无法参与奖励计划；
5）多人或同一人提交重复的漏洞的场景，第一个提交的漏洞报告被视为有效，其他被视为不符合资格；
6）对于直接由AI生成、未经人工复现或未提供有效验证结果截图的报告，平台将直接予以驳回，且不提供驳回原因说明。
7）当涉及的漏洞需要依赖某些权限才可被成功利用并造成影响，而该权限本身就可以造成同样效果，这样的情况我们不会进行奖励；
8）在奖励计划所列机型以外的漏洞不奖励；
9）没有安全影响的软件功能性错误；
10）轻微的信息泄漏，包括但不限于：绝对路径泄漏、phpinfo、svn/cvs信息泄漏、Web目录遍历、系统路径遍历、目录浏览、有一定敏感信息的本地日志等；
11）存在安全隐患但难以利用的漏洞，包括但不仅限于：需要用户连续交互的敏感安全漏洞、难以利用的SQL注入点、客户端本地拒绝服务;
12）无法利用的漏洞，包括但不限于没有实际危害证明的漏洞扫描报告、无敏感操作的CSRF、无意义的源码泄漏、内网IP地址/域名泄漏；
13）不能直接反映漏洞存在的其他问题，包括但不限于纯属用户猜测的问题；
14）遍历手机号发短信，遍历用户名（邮箱）判断是否已注册、邮箱轰炸、无意义或无影响的越权;
15）低影响的本地DoS攻击；
16）暂时性拒绝服务攻击导致系统挂起或设备重启（导致服务进程挂死或异常退出的可例外评估）；
17）所有暴力强力拒绝服务攻击；
18）基于通过非法途径获得中兴通讯机密信息所做的报告；
2. 报告要求
为了便于验证和定位漏洞，漏洞报告应包含该漏洞的详细说明和完整的POC或Exploit。
2.1 报告描述要求
1）漏洞描述，需要包含漏洞类型、产生原因、利用方式、漏洞可能造成的安全风险等；
2）受影响的产品或服务名称、模块名称、详细的版本信息、具体的漏洞位置；
3）描述复现所需的详细步骤，采用文字、截图、图形等方式，按步骤详细阐述复现过程（推荐提交漏洞复现视频）。
4）严格人工验证：对于AI辅助或自动化挖掘产出的漏洞报告，提交前务必进行人工验证。请确保您已完成对报告真实性与危害性的评估和复现，并在报告中详细提供人工验证结果，包括但不限于： a）漏洞危害说明
b）详细复现步骤
c）完整的POC
d）关键步骤及结果截图
2.2 POC或Exploit要求
1）提供完整可编译的POC或Exploit，可使用POC或Exploit成功验证提交的漏洞；
2）编译和运行环境说明，需包括：编译器名称，编译器版本，编译选项以及操作系统版本等必要信息；
3）POC或者Exploit的运行结果应该与报告描述一致。
漏洞报告需包含详细的漏洞描述、漏洞危害证明以及漏洞复现的POC，以便快速响应。对于漏洞报告过于简单、无任何危害证明的报告将降分处理或直接忽略。
请确保上报的报告不涉及知识产权问题，不包含法律或宗教所禁止的内容。
3. 法律信息
参与中兴通讯漏洞奖励计划并上报漏洞不能涉及以下违规行为：
1）您只能利用、调查或攻击您自己的帐户、设备的漏洞；
2）您的测试活动不能对中兴通讯的产品和服务的性能或可用性造成负面影响，不能中断在线业务，不能攻击中兴通讯内部或外部服务器，也不应造成数据或物理资产的损坏；
3）测试过程中不应下载业务敏感数据，包括但不限于源代码、用户个人资料等，不得以任何方式使用、披露、存储或记录该信息；若存在不知情的下载行为需及时反馈说明并删除文件；
4）未经中兴通讯事先书面同意，禁止对外披露关于中兴通讯产品或服务安全漏洞的任何细节信息（这包括除您之外的任何第三方）；
5）不能故意制作，传播计算机病毒等恶意程序；
6）不能侵犯任何第三方权利（包括知识产权）；
7）您不得是中兴通讯股份公司及子公司员工、外包员工或承包商，您也不得是员工、外包员工或承包商的直系亲属。
如果您以安全测试为借口，利用漏洞信息进行损害用户利益、影响业务正常运作、盗取用户数据等行为给我们造成了损失，或违反了相关法律法规，中兴通讯将保留追究法律责任的权力。
4. 奖励发放
1）符合条件的漏洞奖励100元~30000元不等。每个漏洞将根据漏洞的严重级别、攻击复杂度、影响范围和报告的详细程度进行奖励；
2）通过中兴通讯企业银行账户支付漏洞奖励。为完成奖励支付，我们需要收集您的国籍、所在城市、真实姓名、手机号码、身份证号码、家庭或公司地址、银行卡号及其开户行名称和银行SWIFT代码等必要信息。我们向您承诺收集这些信息只用于支付漏洞奖励，不会用作其他用途；
3）为了遵从适用的税务相关法律要求，中兴通讯在给您支付奖金时已经代扣代缴了个人所得税。
5. 争议解决办法
在漏洞处理过程中，如果报告者对处理流程、漏洞评定、漏洞评分等存在异议，请发邮件至：psirt@zte.com.cn，将有工作人员和您沟通。
6. 其他
1）我们将会定期更新纳入奖励范围的产品、服务清单；
2）与安全漏洞无关问题将不会被答复和处理，节假日期间的响应时间会有所顺延；
3）本漏洞奖励计划自发布日期起生效；漏洞严重级别、奖励金额和支付过程完全由中兴通讯决定；我们还可以随时停止奖励计划；
4）中兴通讯PSIRT对以上所有条款具有最终解释权。
7. 修订记录
V1.0 2026.7.17 初始发布
.png)
.png)
.png)
