Сообщить приватно
Публичный адрес security-контакта не подтверждён. До его появления не отправляйте работоспособные эксплойты или секреты в открытые issue, email-рассылки или комментарии.
Что включить в отчёт
- Версия/commit, окружение и компонент
- Описание угрозы, preconditions и предполагаемое воздействие
- Минимальный сценарий воспроизведения на тестовых данных
- Есть ли возможность межарендного доступа или раскрытия токенов
Что не передавать
Действительные production-токены, пользовательские персональные данные, private keys и пароли. При обнаружении секретов их следует отозвать установленной процедурой.
После публикации канала
Зафиксируйте ожидаемое время подтверждения обращения, координацию исправления, выпуск advisory и план уведомления операторов. Пока эти SLA не заявлены.