Política de seguridad
Versiones compatibles y canal privado para informar de una vulnerabilidad.
Las correcciones de seguridad se aplican a la última versión 0.1.x y a la rama main actual. Las versiones anteriores, otras ramas y forks no reciben soporte; la antigua etiqueta v1.0.0 eliminada no debe recrearse.
Informes
Usa el formulario privado de informes del repositorio del producto.
Si el informe privado no está disponible, abre una incidencia pública mínima pidiendo un canal privado. No incluyas medios de ejemplo, código de explotación, credenciales ni otros detalles sensibles.
Incluye el commit o la etiqueta de imagen afectados, pasos de reproducción claros, el impacto esperado y una prueba de concepto saneada cuando sea posible. Deberías recibir un acuse en siete días y una primera evaluación en catorce.
Alcance relevante
- medios del usuario que salen del navegador, o cualquier nueva vía de subida;
- cadena de suministro npm;
- imagen Docker y Nginx;
- flujos de GitHub Actions;
- cabeceras HTTP, especialmente COOP/COEP/CSP;
- superficie del navegador: blobs y WASM.
El texto autoritativo sigue siendo SECURITY.md.