脆弱性を見つけた場合は、公開のIssueには書かないでください。 攻撃される前に直す時間を確保するためです。

GitHubの「Security」タブから「Report a vulnerability」を選び、非公開で報告してください。 このリポジトリでは、非公開の報告を受け付ける設定を有効にしてあります。

• 影響を受ける版やコミット
• 再現の手順
• 想定される影響

1. 受け取ったことを返信します
2. 内容を確かめ、影響の範囲を判断します
3. 修正を用意し、公開します

修正が公開されるまで、報告の内容は公開しないでください。

最新の版だけを対象とします。 古い版に対する修正は行いません。