科沃斯协调漏洞披露（CVD）政策
版本：V1.0
最新修订日期：2026年8月10日
1. 引言
本公司致力于保障产品安全及用户隐私安全。我们深知，没有产品是绝对安全的，安全研究人员、客户和公众在帮助我们识别和修复安全漏洞方面发挥着重要作用。本政策阐述了公司对产品安全的承诺，以及如何通过协调漏洞披露（CVD）与安全社区进行合作。
什么是协调漏洞披露（CVD）？
协调漏洞披露是指通过多方利益相关方之间的协调，以负责任的方式处理安全漏洞的整个过程。CVD的核心理念是：在修复措施可用且用户有足够时间部署之前，不公开披露详细的漏洞信息，从而最大化保护用户安全，同时促进安全研究社区与产品厂商之间的信任关系。
2. 范围
本政策适用于本公司所有带有数字元素的产品及其配套服务，涵盖家用及商用服务机器人全品类（如扫地机器人、擦窗机器人、割草机器人、泳池机器人、宠物机器人及商用清洁机器人等），包括：
  • 机器人硬件固件
  • 移动应用程序（APP）
  • 云平台及API服务
  • OTA升级平台
  • 第三方组件及开源软件
以下情况不纳入本政策范围：
  • 没有展示实际可利用性或已证明安全影响的理论性漏洞；
  • 非敏感数据的简单信息泄露（如版本号泄露）；
  • 影响报告日期前已终止支持（EOL）超过12个月的产品的漏洞；
  • 仅通过自动化扫描工具发现且未经验证的漏洞；
  • 没有安全影响的UI/UX缺陷、拼写错误；
  • 社会工程攻击、物理安全测试。
修复资格： 产品和服务在其既定支持周期内可获得安全更新。例如，产品一旦超出其公布的支持终止日期，即无资格获得修复。


3. 漏洞报告渠道
如果您发现本公司产品存在潜在安全漏洞，请通过以下渠道之一向我们报告：
渠道 地址 说明
安全邮箱（首选） product-security@ecovacs.com 支持PGP加密通信，公钥可从本文件获取地址
官网提交表单 https://security.ecovacs.cn/en/submit-vulnerability 说明了匿名提交渠道
所有电子渠道均通过HTTPS/TLS加密传输。安全邮箱支持PGP加密通信。
点击安全中心无障碍菜单，选择 “Screen Reader” 可开启或关闭屏幕阅读功能。按需还可调整对比度、高亮链接等辅助选项。

4. 安全港条款
对于善意遵守本政策进行安全研究的外部人员，公司承诺：
  • 将其研究活动视为已获授权；
  • 不针对其善意研究行为提起法律诉讼或向执法机关举报；
  • 积极合作以快速理解和解决问题。
善意研究应满足以下条件：
  1. 仅与报告者拥有或获明确授权测试的系统交互；
  2. 避免侵犯用户隐私、破坏数据或导致服务降级；
  3. 仅访问证明漏洞所必需的最少数据，不存储、分享或滥用；
  4. 在公开披露前给予公司合理的修复时间；
  5. 不将研究成果用于恶意目的。
排除情形： 本安全港不适用于以下行为：未经授权访问内部网络/服务器/数据库、故意损坏产品/服务/基础设施、对员工/用户进行人身威胁或骚扰、勒索或恐吓。

5. 报告内容要求
为帮助我们快速验证和修复问题，请尽可能提供以下信息：
信息项 说明 必填
受影响产品 产品名称、型号、固件/APP/云版本 是
漏洞描述 问题现象、触发条件、漏洞类型 是
复现步骤 详细的分步说明 是
影响评估 漏洞被利用的潜在后果 是
概念验证（PoC） 证明漏洞存在的技术演示（非武器化） 建议
发现信息 发现时间和方式 建议
联系方式 姓名/别名、邮箱（匿名报告可不提供） 建议

6. 我们对报告者的承诺
收到您的报告后，我们将：
阶段 承诺 时限
接收确认 发送确认回执并分配跟踪编号 3日内
初步评估 完成漏洞验证和分类 14日内
不定期更新 向报告者通报处理进展 有进度更新时
修复完成 通知报告者修复完成并邀请验证 修复完成后
协调披露 就披露时机和内容与报告者协商 补丁发布后
修复时间线：
  • 严重/高危漏洞：目标在90日内完成修复
  • 低危漏洞：目标在180日内完成修复
7. 协调披露原则
在协调披露期间，以下信息应被视为保密信息：
  • 漏洞技术细节
  • 概念验证代码和利用方法
  • 受影响产品版本范围
  • 修复技术细节
  • 未发布的安全公告草稿
我们请您在公开披露之前给予我们合理的机会来修复问题。在所报告的漏洞被处理之前，我们不会公开披露其细节；任何公开披露都将由您与我们协调并达成一致。在适当情况下，我们会约定禁披期。禁披时限可在双方同意的情况下逐案调整，包括在涉及协调者或其他供应商时。
8. 公开披露
8.1 安全公告内容
安全更新发布后，公司将在官网安全公告页发布公告，至少包含以下信息：
  • 漏洞描述
  • 漏洞标识符（CVE编号或厂商编号）
  • 受影响产品的识别信息
  • 漏洞的潜在影响
  • 漏洞严重性（CVSS评分）
  • 修复措施的详细信息
  • 发布日期和更新日期
8.2 发布渠道
  • 官网安全公告页：https://security.ecovacs.cn/en/security-announcement
  • 机器可读格式：CSAF 2.0 JSON（https://security.ecovacs.cn/cn/advisories.json）
  • CVE记录及欧盟漏洞数据库（EUVD）
  • 产品更新通知渠道
8.3 延迟公开
在所有以下条件均满足的情况下，可延迟完全公开：
  1. 经评估认定完全公开的安全风险超过安全收益；
  2. 以攻击者无法利用相关信息利用漏洞的方式，向用户提供安全更新所修复漏洞的信息；
  3. 已告知产品用户所有漏洞信息的公开披露日期。
9. 致谢
经报告者同意，公司将在安全公告中为报告者署名致谢。报告者可选择：
  • 使用真实姓名
  • 使用化名
  • 保持匿名
11. 政策更新
本政策可能不时更新。当前版本及其发布日期见文件头。重大变更记录如下：
版本 日期 变更内容
V1.0 2026年8月10日 首次发布

12. 联系方式 / Contact Information
用途 联系方式
漏洞报告 product-security@ecovacs.com
政策反馈 product-security@ecovacs.com（主题："Policy Feedback"）
PGP公钥 https://security.ecovacs.cn/public-key.asc
安全公告页 https://security.ecovacs.cn/en/security-announcement
security.txt https://www.ecovacs.com/.well-known/security.txt