Если вы обнаружили возможную уязвимость OneBase, отправьте сообщение приватно через GitHub: Report a vulnerability. Этот канал находится на вкладке Security → Advisories → Report a vulnerability и использует Private vulnerability reporting.

Не публикуйте детали уязвимости в issues, discussions или публичных pull requests до согласования раскрытия с сопровождающим. Draft PR тоже публичен.

В приватном сообщении по возможности укажите:

• версию OneBase или SHA коммита, операционную систему и СУБД;
• необходимые условия и права пользователя;
• влияние проблемы и безопасный способ воспроизведения на тестовой базе;
• предложенное исправление, если оно есть.

Не прикладывайте действующие токены, пароли или данные рабочей базы. Используйте тестовые значения и обезличенные примеры. Неполное сообщение тоже полезно: сопровождающий поможет уточнить детали.

Исправление и срок публичного раскрытия согласуются в приватном отчёте.