До первого стабильного релиза исправления безопасности выпускаются только для последней версии ветки master и последнего опубликованного образа.
Не создавайте публичный issue. Используйте GitHub Private Vulnerability Reporting.
Укажите:
- затронутую версию или commit SHA;
- компонент и конфигурацию;
- шаги воспроизведения;
- возможное влияние;
- безопасный proof of concept без чужих данных;
- предлагаемый способ исправления, если он известен.
Не отправляйте действующие токены, пароли, proxy-ссылки или production state-файлы.
- Получение отчёта подтверждается после первичной проверки.
- Уязвимость воспроизводится и оценивается.
- Исправление готовится приватно.
- После выпуска публикуется advisory с благодарностью исследователю, если он согласен.