对于每一个级别的漏洞，我们会根据漏洞利用的技术难度、漏洞造成的影响等进行综合考虑，分成不同的层次，并给与相应积分。根据漏洞危害程度分为严重、高、中、低、忽略五个级别，每个级别涵盖的漏洞以及评分标准如下：
1【严重】
分值范围 9-10，金币系数 10。本等级包括：
1) 设计缺陷导致未经授权的跨用户数据篡改和访问；
2) 漏洞的组合、弱口令等方式，导致渗透进入内网并获取核心业务控制权限；
3) 导致获取核心业务系统权限，包括但不限于远程命令执行、任意代码执行、上传获取Webshell、SQL注入获取系统权限、缓冲区溢出等；
4) 严重敏感信息泄露或重要DB的SQL注入导致严重信息泄露（大量机密信息泄露如密码、私钥、个人隐私信息泄露等）；
5) 严重的逻辑设计缺陷或流程缺陷，导致关键业务的篡改。（支付金额篡改指的是成功支付篡改后的订单并生效）
2【高】
分值范围 6-8，金币系数 5。本等级包括：
1) 关键页面的CSRF、存储型XSS可导致影响大量用户的漏洞等；
2) 高风险的信息泄露，包括但不限于可以获取一般数据的 SQL 注入漏洞、源代码泄露以及任意文件读取和下载漏洞等；
3) 越权访问，包括但不限于绕过验证直接访问后台、后台登录弱口令、以及其他服务的弱口令等。
3【中】
分值范围 3-5，金币系数2。本等级包括：
1) 需要条件才能获取用户身份信息的漏洞（如交互）。包括但不限于JSON Hijacking、CSRF、普通业务的存储型 XSS；
2) 本地拒绝服务漏洞。包括但不限于客户端本地拒绝服务（解析文件格式、网络协议产生的崩溃）；
3) 普通的信息泄露，包括但不限于包括可以轻微数据的SQL注入和难以利用的SQL注入，客户端用户名密码明文存储，以及网络明文密码传输；
4) 普通的越权操作以及设计缺陷和流程缺陷。
4【低】
分值范围 1-2，金币系数 1。本等级包括：
1) 轻微的信息泄露，包括但不限于路径泄露、SVN文件泄露、PHPinfo、异常信息泄露，以及客户端应用本地SQL注入（仅泄漏数据库名称、字段名、cache内容）、日志打印、配置信息、异常信息等；
2) 参数过滤不严导致不安全的URL跳转漏洞；
3) 确定的安全隐患但是难以利用的漏洞，包括但不限于难以利用的SQL注入点、需构造部分参数且有影响较小的CSRF、轻微信息泄露的JSONP Hijacking等 ；
4） 反射型 XSS（包括反射型 DOM-XSS）
5【无】
分值范围 0，本等级包括：
1) 无法影响其他用户的漏洞包括但不限于self-xss；
2) 无法利用的漏洞，包括但不限于版本过低；
3) 无关安全的BUG，包括但不限于功能无法使用等;
4) 无法重现的漏洞。只有“简要概述”，不能直接体现漏洞的其他问题。包括纯属用户猜测、未经验证的问题。以及无实际危害证明的扫描器结果 ；
6【双倍积分】
能够危害用户的个人数据安全，并且能够给出详细的漏洞利用细节的漏洞一经确认，会在原有积分基础上双倍。漏洞严重级别保持不变。
