脆弱性、認証情報、個人情報、悪用可能な再現手順は公開Issueへ投稿しないでください。
対象リポジトリの Security タブから Report a vulnerability を選び、Private Vulnerability Reportingで報告してください。利用できない場合は、詳細を公開せず、対象リポジトリのメンテナーへ非公開連絡手段の案内を依頼してください。
報告には、可能な範囲で次を含めてください。
- 影響を受けるリポジトリ、バージョン、コミット
- 想定される影響と攻撃条件
- 最小限の再現手順
- 緩和策または修正案
受領後は内容を確認し、影響評価と対応方針を非公開で連絡します。修正が公開されるまでは、第三者への共有を控えてください。