Este é um projeto mantido por uma pessoa só. O suporte se concentra sempre na linha mais recente — não há backport para versões anteriores.

Não abra uma issue pública. Issues são visíveis para todos, e um relato aberto expõe o problema antes de existir correção.

Use o canal privado do GitHub:

Security → Report a vulnerability

O relato fica visível apenas para você e para mim até que haja uma correção publicada.

Se preferir e-mail: samuel_f27@outlook.com.

• Versão afetada
• Passos para reproduzir, ou um caso de teste mínimo
• Impacto prático — o que um atacante consegue fazer
• Ambiente relevante (versão do Node, sistema operacional)

São prazos de melhor esforço, não um SLA contratual. Se um relato ficar sem resposta além disso, um lembrete por e-mail é bem-vindo.

Relatos de boa-fé são bem-vindos e você será creditado no advisory, salvo se pedir o contrário.

Vale para o código deste repositório e para o pacote publicado a partir dele.

Ficam fora: vulnerabilidades em dependências de terceiros (relate ao projeto de origem — mas avise se este projeto puder mitigar), e problemas que exijam acesso já privilegiado à máquina de quem executa.