安全

最后更新于 2026-10-01 · 如何报告 Nexus Studio 或我们服务中的漏洞

如果您发现 Nexus Studio、本网站或账户门户存在安全问题，请告知我们。本页说明了报告方式、适用范围以及我们相应的承诺。这仅涉及我们的软件和系统：并不授权您测试任何其他方的系统。有关产品如何处理您的数据，请参阅安全与隐私。要确认安装程序是否确实由我们发布，请参阅验证下载文件。

如何报告

请发送电子邮件至 security@nexusstudioqa.com，并提供以下信息：

• 问题是什么，以及攻击者可以利用它达到什么目的；
• 受影响的 Nexus Studio 版本或地址；
• 复现该问题所需的最少步骤；
• 您的姓名或网名（如果您希望获得署名致谢）。

我们尚未公布加密密钥。如果报告内容过于敏感，不宜通过普通电子邮件发送，请先写信联系我们，我们会与您商定沟通渠道。我们的 security.txt 中也列有相同的联系方式。

范围内

• Nexus Studio: 通过合法途径获取的 Studio、其引擎、命令行工具和安装程序版本。
• 我们自有域名下的本网站、/app 下的账户门户和 /v1 下的许可证服务。

范围外

• 客户的系统和已安装的软件。请向相关客户报告这些环境中的问题。我们无法访问他们的计算机，也无法采取措施。
• 我们的服务提供商，例如 Cloudflare、Stripe、Resend、Google 和 GitHub。请直接向其报告；如果问题影响到我们，也请告知我们。
• 针对我们服务的拒绝服务攻击、负载测试或垃圾信息，以及针对我们的社会工程攻击或物理访问。
• 通过测试未经授权的系统而发现的任何问题。

我们对您的要求

• 在披露问题前，请给我们合理的修复时间。我们请求您给予 90 天时间，如果需要更长时间，我们会告知您并说明原因。
• 仅进行证明问题所必需的访问，到此为止。请使用自己创建的账户；切勿使用他人的账户、数据或银行卡。
• 请勿访问、更改、删除或复制不属于您的数据。可访问记录的截图足以作为证据；无需复制数据库。
• 请勿影响其他人使用我们的服务。

我们的承诺

• 在 5 个工作日内确认收到您的报告。
• 在 15 个工作日内进行评估, 告知您我们是否认定其为漏洞，以及计划如何处理。
• 在修复期间持续向您通报进展, 并在修复版本发布时告知您。
• 如果报告有效且您愿意，我们会在发行说明中署名致谢。

目前没有有偿漏洞奖励。要求付款或以披露相威胁来索取利益的报告不属于研究，也不适用善意承诺。

安全港

如果您出于善意努力遵守本政策，我们将视您的研究为已获授权，并且：

• 我们不会因此对您提起或支持任何民事或刑事法律诉讼，包括依据《计算机欺诈和滥用法》、州计算机犯罪法律、英国《计算机滥用法》或其他地区类似法律提起的诉讼；
• 对于为研究 Nexus Studio 而规避其许可证检查或其他技术措施的行为，我们放弃依据《数字千年版权法》(DMCA) 第 1201 条或类似反规避法律提出任何索赔，并豁免我们的条款、可接受使用政策和 LICENSE 文件中原本会禁止此类研究的限制，例如禁止逆向工程或绕过许可证检查的限制。这两项豁免仅适用于您合法获取的副本，仅限于本政策范围内的研究，且仅在您不发布、分享或出售可破解许可证检查的工具、补丁、密钥或方法，也不将规避了技术措施的副本用于研究以外的任何用途时适用。这些豁免不涵盖贩运规避工具的行为；
• 如果第三方因您在本政策范围内开展的研究而向您提出索赔，我们将说明您是在本政策授权下行事的。

本授权仅涵盖上述范围内的我们的系统。我们无权授权您测试我们的服务提供商或客户的系统。如果您不确定某项内容是否在范围内，请先通过 security@nexusstudioqa.com 向我们咨询。

修复如何送达已安装的软件

Nexus Studio 在客户的计算机上运行，因此我们无法自行修补已安装的软件。我们发布新版本后，Studio 会在下次许可证检查时提示更新；安装则需由客户完成。我们可以告知您修复版本何时发布，但无法保证每个安装实例都已更新。对网站、门户和许可证服务的修复会在部署后立即生效。

安全公告和通知

如果我们得知 Nexus Studio 中的某个漏洞正遭到利用，或发生了影响其安全的事件，我们会按法律要求向有关主管机关报告，包括依据《网络韧性法案》通过欧盟单一报告平台进行报告。我们会向每位安装实例受到影响的账户持有人发送电子邮件，说明问题及应对措施，并在有可用的修复方案或缓解措施后在本页面发布公告。