只有最新发布的版本会收到安全修复。请先升级到最新版本再确认问题是否存在。

请不要公开提 Issue。通过 GitHub 的 私下报告漏洞 提交，写明：

• 受影响的版本和部署方式；
• 复现步骤或概念验证；
• 可能的影响（例如绕过登录、读取他人数据、执行命令）。

收到后会尽快确认，并在修复发布后致谢（如果你愿意）。

• Kmoe Sync 为单管理员、局域网内使用设计。请不要把端口直接暴露到公网；需要远程访问时，请放在 HTTPS 反向代理或 VPN 后面， 并设置 KMOESYNC_SECURE_COOKIES=1。
• 部署后请立即设置管理员密码：在此之前，能访问端口的人都可以抢先设置。忘记密码时用 kmoesync --reset-admin 重置。
• Kmoe 会话（以及勾选「记住密码」时的 Kmoe 密码）、WebDAV 密码、Komga 凭据和 AI 的 API Key 用 data/secret.key（或 KMOESYNC_SECRET_FILE 指定的文件、KMOESYNC_SECRET）加密保存；请妥善备份并保护 data/ 目录。
• 通知渠道的 Telegram Bot Token、Bark Key 和 Webhook 地址没有加密，以明文存在数据库里，但 Bot Token 和 Bark Key 不会再发回浏览器。
• REST API 与 MCP 使用单独生成的令牌，只能操作漫画、订阅和下载；不需要时请在「设置 → API 与 MCP」撤销。