提交漏洞直接给厂商还是给 CNVD？

[cnskis]

如果我找到了教务系统漏洞，是给 cnvd 还是学校还是厂商？
并不是很严重，只是泄露全部学生信息。

[virusdefender]

楼上正解，教育网 src

[shansing]

教育网 src，然而学校也并不一定修。#6 说的还是有道理。

[cnskis]

@b1rdb0y 可以考虑
@javashell 我没法做更多的验证
@guog 我自己查了-.-
@crella 还好我校没有这个，xswl
@rayhy 提不得，没敢深入了。
@zsmj1024 可以，我看看
@virusdefender 以前居然不知道，只上乌云
@shansing 有的学校还是会修的。

[ic2y]

@cnskis 提给学校吧。教务系统，一般是自研，或者付费购买的。 以前 wooyun 还在的时候，看到过几个《方正教务系统，新开普教务系统》的漏洞，感觉也没有人管，还要被公开漏洞细节。

提给学校的话，直接说你拿到数据的步骤，然后提供一个泄露数据的截图 警告下 就好了。 当初我也发现了一些校务漏洞，用匿名邮件的方式发给学校，学校还邀请我去喝茶谈谈。我没胆去，只是邮件回复保证数据我都没有保留，后来漏洞还是悄悄修了。

[kernelpanic]

装作没看到，否则 3 年有期徒刑

[cnskis]

@ic2y 买的，这个我知道，学校应该叫厂商修。
@kernelpanic 我丢，3 以上 5 以下。

[mXw]

cnvd 吧

[playniuniu]

别没事找事，想想给世纪佳缘提交漏洞的那个哥们出来没？

[MeteorCat]

我个人感觉哈,这种还是别出头;这种教务系统本来错漏百出,或许你提交了以后又爆出问题,他们指不定第一个报警就把你抓起来

[mcone]

不建议提交，别没事找事

既然你都是乌云年代过来的了，这点自我保护意识都没有？

[cnskis]

@mXw 我再想想，考虑利弊。
@playniuniu 可惜了乌云，我还有乌云币。
@MeteorCat 有道理。
@mcone 放在那是个隐患。。。-.-

[illl]

还好我们学校有专门的信息安全中心，里面的老师也比较重视安全，提交的漏洞都会及时被修复。如果是本校的建议直接校内处理了，校外的还是交给漏洞平台。

[cnskis]

@illl 快一个月的帖子让你挖了