Пользуйтесь приватными уведомлениями об уязвимостях GitHub: кнопка «Report a vulnerability» на вкладке Security этого репозитория.

Публичные issues для уязвимостей не использовать — так деталями не воспользуются злоумышленники до выхода исправления.

• описание проблемы и сценарий воспроизведения (шаги, входные данные);
• затронутые файлы/версии (коммит или тег);
• ожидаемое и фактическое поведение;
• оценку серьёзности (по шкале CVSS, если возможно).

• подтверждение получения: до 3 дней;
• оценка и план исправления: до 7 дней;
• исправление и раскрытие: по договорённости, обычно до 30 дней.

1. Утечка секретов (токены, ключи, пароли) — высший приоритет, см. доктрину аккаунта rtynbirf/repo-doctrine, раздел 05-аварийные-процедуры.md.
2. Уязвимости исполняемого кода этого репозитория.
3. Подмена зависимостей и supply-chain риски (скрипты, загружаемые из сети).

Спасибо за ответственную работу.