Milkbox Viewer 會讀取本機 Git 工作樹，並可在明確啟用後執行 Git 或外部 workflow 動作。路徑越界、未授權寫入、命令注入、憑證外洩與繞過確認都屬於安全問題。

目前維護 main 與最新的 0.1.x。尚未發布修正版本時，安全修正會先進入 main。

不要用公開 issue 張貼可利用的漏洞、token、憑證、私人 Milkbox 內容或完整本機路徑。

請優先使用 GitHub Security 頁面的 Report a vulnerability，或開啟：

https://github.com/Prysline/MilkboxViewer/security/advisories/new

若該功能尚未啟用，可以建立一個不含漏洞細節的公開 issue，只請維護者提供私密聯絡方式。請等到取得私密管道後再提供重現內容。

回報時請盡量包含：

• 受影響的版本或 commit。
• 作業系統、Node.js、Git 與 Viewer 模式。
• 最小重現步驟與影響。
• 已移除私人資料的錯誤訊息。
• 你已經採取的暫時防護。

Milkbox 內容、街規與存取權限爭議不是 Viewer 安全漏洞，請使用 Milkbox 的既有管道。