Исправления безопасности выпускаются для актуального состояния ветки main и опубликованной версии сайта. Старые коммиты и сторонние форки отдельно не поддерживаются.

Не создавайте публичный issue и не раскрывайте рабочий exploit до исправления.

1. Откройте приватный security advisory, если функция доступна.
2. Если приватная форма недоступна, свяжитесь с владельцем через профиль @minkinad и сначала передайте только краткое описание без чувствительных деталей.

В сообщении укажите:

• затронутый компонент, зависимость, workflow или страницу;
• возможное влияние и условия эксплуатации;
• минимальные шаги воспроизведения или proof of concept;
• известные способы временно снизить риск;
• удобный способ связи для уточнений.

Не прикладывайте реальные токены, чужие персональные данные и данные, полученные за пределами необходимой проверки.

• выполнение небезопасного MDX, HTML или пользовательского ввода;
• инъекции в скриптах сборки и GitHub Actions;
• утечки секретов и deployment credentials;
• компрометация npm-зависимостей или цепочки поставки;
• обход ограничений доступа к инфраструктуре проекта;
• изменение опубликованного контента без разрешения.

Опечатки, битые ссылки, ошибки вёрстки и обычные сбои сборки без влияния на конфиденциальность, целостность или доступность оформляйте через шаблон ошибки.

Сопровождающий постарается:

1. подтвердить получение;
2. воспроизвести и оценить влияние;
3. согласовать дальнейшую коммуникацию;
4. подготовить исправление или временную меру;
5. опубликовать сведения после выпуска исправления, если это уместно.

Срок зависит от сложности и доступности сопровождающего. Пожалуйста, дайте разумное время на проверку перед публичным раскрытием.

StackMIREA публикуется как статический сайт, но сборка обрабатывает MDX и запускает Node.js-скрипты в CI. Основные границы доверия проходят через контент pull request, npm-зависимости, GitHub Actions и права на публикацию. Любое изменение в этих областях требует особенно внимательного ревью.