Cada repositório deve documentar suas versões suportadas e seus contatos específicos. Esta política cobre a organização e seus projetos enquanto essa documentação ainda não existir.

Não publique detalhes de uma vulnerabilidade em Issue, Discussion, PR ou commit público. Use GitHub Private Vulnerability Reporting/Security Advisories quando estiver disponível no repositório. Caso o recurso não esteja habilitado, solicite contato privado ao owner @matmel0 antes de compartilhar qualquer prova ou material sensível.

Inclua, quando possível, produto e versão afetados, impacto, passos mínimos de reprodução, evidência sem secrets e uma forma segura de contato.

• secrets, certificados, signing e workflows de release;
• dependências, lockfiles, GitHub Actions e downloads do build;
• plugins, archives, executáveis e arquivos importados;
• caminhos de filesystem, IPC, permissões e atualizações automáticas;
• ROMs, BIOS, dumps, dados pessoais e material de terceiros.

Nunca envie credenciais, chaves privadas, arquivos .env, ROMs comerciais ou BIOS proprietárias para um repositório público.

O mantenedor coordenará correção, avaliação de impacto e divulgação. Releases devem informar versões afetadas, correções, limitações e, quando aplicável, checksums dos artefatos.