脆弱性を見つけた場合は、公開 Issue ではなく GitHub のセキュリティ勧告 から非公開で報告してください。個人で開発しているため即応は保証できませんが、 できるだけ早く(目安 1 週間以内)一次返信します。

Strata はローカルで動く解析ツールですが、strata serve は HTTP サーバーを立てて ローカルのソースコードを読める状態になります。次の点を特に重視しています。

• 127.0.0.1 のみにバインドする(外部公開しない)
• DNS リバインディング対策として Host ヘッダを localhost 系に限定する
• クロスサイトからのリクエストを拒否する(Sec-Fetch-Site の検査)
• /source /files は登録済みプロジェクト配下に限定し、パストラバーサルと シンボリックリンク越しの読み取りを拒否する。拡張子とサイズにも上限がある
• strata export の HTML はモデルをインライン化するため、共有する相手に見せて良い コードかどうかは利用者側の判断になります(社外共有時は注意してください)

これらを迂回できる経路を見つけた場合は、脆弱性として扱ってください。

最新リリースのみを対象とします(0.x のうちは後方互換の保証もありません)。