【重要資安警示】發現冒充 Qfinder Pro 的非官方網站，了解詳情 >
Search

安全漏洞獎勵計畫

QNAP 積極維護資安，並結合相關合作夥伴及社群的力量，確保 QNAP 產品安全性，讓用戶更安心，對產品系統及資料安全確實把關。為了感謝發現潛在安全問題與協助提升客戶安全的研究人員，QNAP 將透過安全漏洞回報獎勵計畫給予獎金。

致謝

獎勵計畫適用範圍

獎勵計畫僅接受與 QNAP 產品及網路服務相關的安全性漏洞回報。任何超出本計畫範圍的安全性回報不屬本計畫受理範圍，將不符合獎勵資格。本計畫不接受或獎勵在第三方軟體（例如第三方 QPKG）中發現的安全性漏洞。如果您在此類軟體中發現安全性問題，請直接聯絡並通知相關廠商或開發者。其他不屬於本計畫獎勵範圍，但與 QNAP 產品或服務相關之安全問題，其回報方式請參閱〈協調式漏洞揭露政策〉。

  • 作業系統

    獎金最高 $20,000 美元

    QNAP 開發的作業系統：QTS, QuTS hero, QuTScloud 皆涵蓋於本計畫範圍中。

  • 應用程式

    獎金最高 $10,000 美元

    QNAP 官方研發的應用程式。

  • 雲端服務

    獎金最高 $5,000 美元

    QNAP 官方提供之雲端服務。

如何回報安全問題與漏洞

請使用下列 PGP 公開金鑰將電子郵件訊息加密，並傳送至 security@qnap.com，QNAP PSIRT 會主動聯絡研究員以確認提交資料。

弱點通報建議格式範例

  • 作業系統

  • 應用程式

  • 雲端服務

PGP 代碼

回報問題

獎勵資格標準

  • 您必須是第一位回報安全漏洞的研究人員。

  • 您尚未向公眾披露此安全漏洞。

  • 您回報的安全漏洞經 QNAP 內部人員確認為可驗證、可重現、且符合獎勵資格的漏洞。

  • 您完全同意並遵守獎勵計畫規範。

  • 如研究過程中接觸到 QNAP 或其使用者之非公開資料，您已依〈測試行為與資料處理規範〉完成資料刪除，並於期限內提供書面刪除聲明。

獎勵額度保有調整空間，具體取決於：

加分項

  • 遵循弱點通報建議格式範例：請提供必要且充分的弱點通報資訊，建議格式：作業系統格式範例、應用程式格式範例、雲端服務格式範例。

  • 複製步驟：清楚詳盡的複製步驟。

  • 問題描述：條理清晰，內容段落編排清楚的安全漏洞報告。

  • 補充資訊：弱點通報建議格式範例中建議的項目，或其他有用資訊，例如：測試代碼、腳本，或其他詳細說明。

  • 請以文字形式完整提供攻擊封包 (exploit payload) 原始資訊：僅提供圖檔的封包資訊，QNAP PSIRT 團隊不保證可以正確複製，在無法重現有效攻擊的情況下，弱點認定可能失效。

調整項

  • 議題嚴重性與審查順序：QNAP PSIRT 依議題之嚴重性排定驗證與修補順序，優先處理對使用者資料與系統具重大影響之議題。議題之嚴重性由獎勵委員會參考 CVSS v3.1 評分，並結合實際可利用性與受影響範圍綜合評定；經評定為低嚴重性之議題，其審查順序將低於高嚴重性議題。所有經確認且仍在支援期間之議題，無論嚴重性高低，均會納入 QNAP 的修補排程。

  • 嚴重性對應之獎勵額度：獎勵額度依議題經評定之嚴重性級距核給。評定為低嚴重性之議題，其獎勵額度將相應調整，並低於同一範圍內高嚴重性議題之額度；各範圍所公告之金額為該範圍之最高額度，非各案件之保證金額。

  • 若問題經評定為低嚴重性，且僅屬安全性改善建議、未造成實際損害（例如設定調整建議、版本或路徑等資訊揭露、最佳實務提醒），經驗證無法證明可被實際利用造成危害，不核發獎金，但仍屬有效議題，我們仍會將您列入公開致謝名單；與「不符合獎勵資格」（不予受理，亦不列入致謝）不同，兩者主要以是否提供可驗證之實際執行結果為區別。不符合獎勵資格之具體情形，詳見各適用範圍「注意事項」。

  • 重複性與同源議題：多筆回報如經確認源自相同根本原因（root cause）、相同程式碼路徑，或可由同一次修補一併解決，QNAP PSIRT 得併為單一案件評估。合併後之獎金以該案件所屬級距之單一額度為上限，不依回報件數累計；並以最早完整送達之回報為受獎對象。

  • 同型態議題之後續回報：QNAP 已受理或已完成修補之同型態議題，其後續回報（含不同介面、不同參數或不同模組之相同型態問題）得視為既有案件之衍生案（variant），此類回報仍會分別認定為有效議題並分別指派 CVE 編號，獎勵則就該類議題整體核給：同一類議題之第 1 至第 10 件，依其所屬級距全額核給；自第 11 件起，依該級距金額之 10% 核給。件數不分回報者累計計算，不另設計算期間。前述「同一類議題」以相同 CWE 分類，且屬相同功能元件或相同程式碼模式者為判定基準；QNAP PSIRT 將於弱點確認信中一併告知衍生案之認定結果，及該類議題目前之累計序號。研究員如有異議，得於收信後 14 個日曆日內來信說明。

  • 報告完整度與可重現性：回報者未自行複驗、或僅提供工具原始輸出而未說明實際影響與重現方式之報告，QNAP PSIRT 得請回報者補件；於補件完成前，該案件之審查順序將低於資訊完整之案件。

  • 實際安全影響：僅具理論性、需極不常見之前提條件，或未能證明對使用者資料與系統造成實質影響之議題，獎勵額度將相應調整。

致謝

感謝所有研究員的專業與投入。

FAQ

獎勵機制與獎金額度由 QNAP PSIRT 成員組成的 Bounty 審核團隊會考慮以下因素決定：成功利用漏洞的複雜性，安全漏洞的威脅性包含受影響的用戶和系統的百分比。

可以，如果透過影片可以讓人更容易理解弱點如何被利用，獎勵委員可能因此提高獎勵。請注意書面文件資訊是必須的（例如：PoC 概念證明文件及完整說明），如此有助弱點揭露流程的管理。

弱點通報至少必須包含：弱點所在的產品名稱，版本及版號或是雲端服務的網址位置、關於漏洞潛在威脅的摘要，以及詳盡清晰的複製步驟，並可搭配影片以重現漏洞。

請使用 QNAP 提供的 PGP 公開金鑰加密報告，並寄送至 security@qnap.com。系統收到郵件後會自動回覆技術申請單號，研究員後續可使用此單號查詢審查進度。

QNAP PSIRT 團隊會主動聯絡研究員，確認提交資料是否完整。針對資料完整且經初步評估為高嚴重性的案件，原則上研究員將於資料確認完整後一週內收到 QNAP PSIRT 弱點確認信，內容包含指派給該資安回報的 CVE ID。

獎金提案將於弱點確認信寄送日四週後以電子郵件通知；如研究員同意該提案，QNAP 預計於收到確認回覆後十二週內完成匯款。

QNAP PSIRT 於驗證階段會分析各案件的根本原因。若多筆回報經確認源自相同根本原因、相同程式碼路徑或相同設計模式，將併為單一案件處理，並以最早完整送達之回報為受獎對象；後續回報如提供了額外的安全影響資訊，我們仍會納入評估。若屬同一型態但分別需要獨立修正之議題，我們會分別認定並分別指派 CVE 編號；獎勵則就該類議題整體核給，第 1 至第 10 件依級距全額核給，自第 11 件起依該級距金額之 10% 核給，件數不分回報者累計計算。

可以。QNAP 尊重各種研究方法，我們關注的是報告本身的品質。無論採用何種工具，請於送出前自行完成複驗，並在報告中載明重現步驟與實際安全影響。僅附上工具原始輸出、未經驗證或未說明影響的報告，我們可能需要請您補充資訊，其審查順序也會低於資訊完整的案件；經評估不具實際安全影響者，將不符合獎勵資格。

QNAP 會優先投入資源處理對使用者資料與系統具重大影響的議題，因此低嚴重性議題的驗證與回覆順序會排在高嚴重性議題之後，獎勵額度也會依其嚴重性級距相應調整。這不影響我們對該議題的處理——所有經確認的議題都會納入修補排程。若您認為評定結果與實際影響有落差，歡迎來信 security@qnap.com 補充可提高影響評估的資訊，例如更低的權限前提、更廣的受影響版本範圍，或可串接其他問題形成完整攻擊鏈的說明。

若您的問題屬於安全性改善建議、未造成實際損害，我們仍會將您列入公開致謝，但不會核發獎金。

請立即停止進一步存取。在報告的影響描述中，請說明所涉資料表或端點名稱、欄位名稱與筆數，必要時附上經遮罩之樣本，不需也請勿附上原始資料檔案。

送出回報後，請於 7 個日曆日內刪除所有副本，並以電子郵件提供一份具名書面刪除聲明，載明刪除資料之範圍、刪除日期時間與刪除方式，並確認已涵蓋〈測試行為與資料處理規範〉所列之全部存放位置。此聲明為核發獎勵之必要條件。

聲明可沿用您回報時使用的名稱或研究代號，無需提供其他身分證明文件；若因所屬組織規範無法個人具名，得由組織聯絡人代為出具，或以電子郵件回覆逐項確認。若未於期限內提供，我們會先以電子郵件提醒，並暫緩該案件之獎勵評估。

準確說明接觸範圍不會影響您的獎勵資格，反而有助於 QNAP 正確評估影響並採取必要措施。

建議用戶訂閱 QNAP 資安通報，掌握第一手資安訊息！

立即訂閱如何看懂資安通報

本頁最後更新：2026/08/31。本計畫條件得不定期調整，以本頁公告之最新版本為準。

選擇規格

      顯示更多 隱藏更多
      選擇其他偏好的語言：
      back to top