Security

SECURITY.md

Security Policy

Поддерживаемые ветки

Рассматриваются только main (последняя стабильная) и dev (текущая разработка).
Другие ветки и теги не поддерживаются.

Как сообщить об уязвимости

Не создавайте публичные Issues или Pull Requests.
Сообщите напрямую владельцу: @solonet_sup.
Также можно уведомить через сообщество в Telegram (доступно после вступления).
Укажите: ветку (main/dev), версию/коммит, шаги воспроизведения, ожидаемое и фактическое поведение, возможное влияние, логи или скриншоты.

Процесс

Подтверждаем получение отчёта.
Анализируем и определяем критичность.
Исправления выпускаются в dev.
Если уязвимость критическая — фикс публикуется напрямую в main.
После релиза уведомляем сообщество и при необходимости публикуем рекомендации по обновлению.

Область действия

Бот (aiogram), веб-админка (flask), внутренние модули/плагины и API проекта.
Вне области: сторонние сервисы и библиотеки (платёжные провайдеры, Telegram, панели и т. п.). Для них обращайтесь к поставщику напрямую.

Ответственное раскрытие

Просим не публиковать детали до выхода исправления.
Тесты проводите только на своих данных и аккаунтах.
Атаки на инфраструктуру или пользователей строго запрещены.

Лучшие практики при отчёте

Минимальный PoC без риска для данных и доступности.
Чёткие и воспроизводимые шаги.
Возможные предложения по снижению риска до исправления.

There aren’t any published security advisories