安全漏洞披露

Intensecomp Pte Ltd 高度重视我们产品和基础设施的安全。我们欢迎安全研究人员、客户和合作伙伴报告我们软件与服务中的漏洞。

如果您认为您发现了安全问题，请向我们报告。我们将确认收到您的报告、展开调查，并在此期间持续向您通报进展。

披露邮箱： [email protected]

如何报告漏洞

请发送邮件至 [email protected]，并附上以下信息：

  • 问题类型 —— 例如身份验证绕过、注入、不安全反序列化、API 端点暴露、权限提升或配置错误。
  • 受影响的产品 —— 哪一款产品及哪个版本（请参阅下方的受支持产品清单）。
  • 复现步骤 —— 详细程度需足以让我们的团队确认该问题。
  • 影响范围 —— 攻击者可能达成什么效果，以及需要什么访问权限。
  • 概念验证（PoC）或屏幕截图 —— 如有。
  • 您的联系方式 —— 以便我们就后续问题与您联系。

如条件允许，请对敏感报告进行加密；您也可以在首次邮件中要求我们提供安全通讯渠道，我们将为您安排。

我们的承诺

我们遵循符合行业标准的协同披露流程：

阶段我们的承诺
确认收悉我们将在 3 个工作日内确认收到您的报告。
评估研判我们将评估严重程度与有效性，并判定该问题是否影响受支持的产品。
进展通报我们将向您通报进展，并在确认严重程度后告知修复时间表。
发布补丁对于受支持产品中已确认的漏洞，我们将发布补丁。
安全公告对于影响客户的高危漏洞，我们可能会发布公告，说明问题、受影响版本及修复步骤。

严重程度与修复目标

针对受支持产品中已确认的漏洞，我们的修复目标为：

  • 严重（Critical） —— 在 15 个自然日内完成修复或采取缓解措施
  • 高危（High） —— 在 30 个自然日内完成修复或采取缓解措施
  • 中危（Medium） —— 在 90 个自然日内完成修复
  • 低危（Low） —— 在下一次计划发布的版本中处理

以上为修复目标，而非绝对承诺。若问题较为复杂，需要同时修改多个组件或涉及第三方依赖，修复时间可能更长；如有延迟，我们将向您坦诚说明。

受支持的产品

以下产品处于积极维护状态，纳入本披露政策的覆盖范围。所列版本均会发布修复。

产品类别受支持版本
Inventrack 6.0高级资产管理系统当前发布分支
Inventrack Warehouse (WMS)仓库管理系统当前发布分支
Inventrack VMS访客管理系统当前发布分支
Inventrack POB人员在板追踪系统当前发布分支
Inventrack MES制造执行系统当前发布分支
Inventrack OPCUI (LIMS)实验室信息管理系统当前发布分支
Inventrack Sense环境传感器监控系统当前发布分支
Inventrack Checklist检查表处理系统当前发布分支
Chemtrack化学品信息系统当前发布分支

如果您的产品不在清单中

  • 如果您的产品在清单内，且受影响版本处于受支持范围内，则已有补丁或正在准备补丁。请联系 [email protected] 并提供您的版本信息，我们将为您提供修复程序和升级说明。
  • 如果您的版本已停止支持，该修复可能同样适用于更新的版本。请联系我们，我们将告知是否可提供升级路径。
  • 如果我们无法确认具体版本，我们将与您协作判定您是否受影响，以及应采取何种缓解措施。

我们不会为每一项已修复的问题都发布公告。轻微和低危问题将静默处理；如果您的报告涉及受支持产品中已确认的问题，您会直接收到补丁详情。

披露范围

属于范围

  • 上述 Intensecomp 软件产品中的漏洞。
  • 我们托管的服务、API 以及 www.intensecomp.com 网站中的漏洞。
  • 我们所部署软件的安全配置缺陷。
  • 发布构建中硬编码的凭据或泄露的密钥。

不属于范围

  • 自动化扫描工具的报告，但未展示具体、可验证的影响。
  • 第三方硬件或厂商固件中的漏洞（Impinj 读写器、Times-7 读写器、移动操作系统）—— 请向相关制造商报告。我们将在必要时协助协调。
  • 针对我们托管基础设施的拒绝服务攻击。
  • 针对我方员工或办公场所的社会工程、钓鱼或物理攻击。
  • 缺乏可利用安全后果的安全加固响应头缺失。
  • 仅由安全扫描器生成、未经人工验证的报告。
  • 需要物理接触已被入侵设备的弱点。
  • 未经客户明确授权而针对客户部署的系统进行的任何测试。

若您不确定某个发现是否属于范围，请照常报告。 我们不会惩罚出于善意的安全研究。

安全港声明

我们支持安全漏洞协同披露，并承诺善意处理所有报告。

  • 对于在本页所述范围内开展的研究，我们不会提起法律诉讼。
  • 对于善意开展的安全研究，我们不会终止或撤销其对 Intensecomp 服务的访问权限。
  • 若您希望署名，我们将与您合作发布安全公告。
  • 我们请您给予我们合理的修复时间后再进行公开披露，并且请勿访问或留存客户数据、降低我们的服务质量，或针对其他用户利用漏洞。

本安全港声明适用于您合法拥有或控制的基础设施上开展的研究。其不适用于第三方系统、社会工程或物理攻击。

安全态势

Intensecomp 建立了通过 ISO/IEC 27001:2022 认证的信息安全管理体系（ISMS），由 TÜV SÜD 颁发（证书编号 IS27-2026-0369）。该认证基于独立审计，涵盖我们的安全控制、风险管理流程和运营实践。

我们面向客户的安全承诺已载入我们的数据处理协议，其中包含安全事件通知义务。有关公司背景及认证详情，请参阅关于我们。

联系方式

返回首页